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Beschreibung 
Personendaten-Archivierungssystem 

Die Erfindung betrifft ein Personendaten-Archh/ierungssystem nach dem Oberbegriff 
des An^nichs 1 . 

In vielen Bereichen des tdglichen Lebens werden persdnliche Daten benOtigt. die hSu- 
fig jedoch nicht in gesammelter Fonn zur VerfOgung stehen, so daB sie fOr jeden Be- 
darfsfail aufwendig zusammengesucfit und -gestellt werden mussen. Oft gehen dabei 
Informationen verloren oder bieiben unberQcksichtigt. 

Lediglich exemplarisch dafQr sind Patientendaten zu nennen, anhand derer nachfol- 
gend anige Probleme bestehender Arcliivierungssysteme beispielhaft dargestellt wer- 
den. 

Die medizinlschen Daten eines Patienten werden von vielen Bnrichtungen des Ge- 
sundheitssystems erhoben und dolcumentiert. Bei der bislang praktizierten Dokumenta- 
tion mittels schriftlicher Eintragungen in KrankenblStter, Karteikarten. Ausweise und 
Passe (Z.B. Diabetiker-PaB) und dem bislang praktizierten Infomiationsaustausch uber 
die Versendung von Arzt- und Krankenhausentlassungsbericliten gehen hSufig wichtige 
medizinische Daten verloren. 

Wechselt beispielsweise ein Patient seinen Arzt, so verbleiben die vorher gewonnenen 
Daten meist in der Kartei des zuletzt behandelnden Arztes und der ndchste Arzt be- 
ginnt von neuem mit seiner Datensammlung. Hinzu komnrt in der modemen Medizin 
eine zunehmende Aufeplittung der Srztlichen Versorgung in die verschiedenen Fach- 
disziplinen, wobei oft unter den im Einzeifall beteiligten Kollegen eine ungenQgende 
Oder sogar keineriei Kommunikation erfolgt. 
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Im derzeit praktizierten Informationssystem werden daher oftmals diagnostische MaB- 
nahmen deswegen wiederholt, weil dem nachbehandelndem Arzt uber vorausgegan- 
gene Untersuchungen nur schriftlich aufgezeichnete Beurteilungen des Vorgangers 
vorliegen, nicht aber beispielsweise die ursprunglichen Rdntgen- oder Uitraschallbilder - 
Oder Labor- und sonstigen Me&protokolle. Auf Grund im Einzelfetl unterschiedlicher 
Interpretationsmdgiichkeiten mOchte ein Arzt fOr seine weiteren Ma&nahmen aber ver- 
standlrcherweise nicht auf eine eigene Beurteilung von Originalunterlagen verzichten. 

Ein weiterer gravierender Nachteil des bestelienden Infbnmationsaustausches bei Pati- 
entendaten liegt in derTatsache, daB wichtige medizinische Daten im Nottell oft nicht 
verfQgbar sind. Zwar sind in der Vergangenheit eine Reihe von PSssen und Ausweisen 
entwickelt worden, wie z.B. der Europdische Notfall-Ausweis, der impfausweis, der 
Marcumar-Ausweis, der AilergiepaB u.a., jedoch sind in nachteiliger Weise, sofern den 
Patienten solche Dokumente Qberhaupt ausgehandigt wurden. wichtige Daten auf ver- 
schiedene Papiere verteilt und ihr Inhalt ist bei einem Verlust meist nicht rekonstruier- 
bar. 

Einen Fortschritt in der Infomiationstechnologie im Bereich des Gesundheitswesens 
kSnnten Patientenkarten in Fonn von Magnetstreifen- oder Prozessor-Chipkarten dar- 
stellen, die in der Lage sind, medizinische Informationen auf einem mobilen elektroni- 
schen Datentrager zu speichem. So sind auch in letzter Zeit einige Kartenprojekte ent- 
standen, welche die Nutzung von Prozessor-Chipkarten zur Datenspeicherung im me- 
dizinischen Bereich zum Ziel haben. 

Die bisher bekannten Entwteklungen von Patientenkarten fQhren aber nicht zu einer 
wesentlichen Verbessemng der Datenbasis filr die unmittelbare Patientenbetreuung, da 
auf Grund der begrenzten SpeicherkapazitSt der Prozessor-Chipkarte nur ein kleiner 
Teil der medizinischen Daten eines Patienten beriicksichtigt vi/erden kann. So beinhal- 
tet z.B. die Diabcard (GSF Forschungszentrum fur Umwelt und Gesundheit Medis- 
Institut. Postfach 1129, D - 85758 OberschleiBheim) nur fiir die Diabetikerbetreuung 
relevante medizinische Daten. Bei einem anderen Modellprojekt, das von der Kassen- 
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arztlichen Vereinigung Koblenz, dem Zentralinstitut fQr die kassenSrztliche Versorgung 
und der Bundesvereinigung Deutscher Apothekerverbande in den StSdten Neuwied 
und Andemach gestartet wurde ("PraxisComputer", Nr. 4, 15. 06. 94, Seiten 3 bis 6. 
und Nr. 2, 10. 03. 95, Seiten 8/9), umfaBt der auf einer Patientenkarte gespeicherte 
Datensatz neben den Anamnesedaten nur noch den Impf- und den Rdntgenstatus so- 
wie vom Apotlieker an Patienten abgegebene Medikamente. 

Ein weiterer bedeutender Nachteil bestehender Speicherkarten besteht darin, da& die 
gespeicherten Daten nicht wirksam gegen Mifibrauch geschQtzt sind. Eine reine Ver- 
schlQsselung der gespeicherten Informationen ist nicht ausreichend, da mil einem aus- 
reichend groBen Aufwand letztendlich jeder Code entschliisselt werden kann. Im Fall 
von Patientendaten bedeutet dies, daB letztere, beim Patienten selbst aufbewahrt, 
leicht auch Unbefugten in die Hdnde fallen k5nnen. die die entsprechenden Infomiatio- 
nen nach dem Decodieren der Daten zum Nachteil des Patienten venwenden kdnnten. 

Aus der DE 90 18 059 U1 ist ein System zur Spefcherung, Bereitstellung und Aktuali- 
sierung von festen und/oder variablen Patienten- und Behandlungsdaten bekannt. Da- 
bei wird von einer stationSren Computer-Zentraleinheit mit einer Speichereinhelt, in der 
die in einer Patientenkartei vorhandenen Patientendaten in Fonn von patientenspezifi- 
schen DatensStzen ges|)eichert sind, und einer Daten-Schnittstelle zur Ein- und Aus- 
gabe von Patientendaten ausgegangen in Verbindung mit einer mobilen Einheit, wie 
etwa einem portablem Computer, der zur Aufnahme ausgewahlter Oder aller gespei- 
cherten Patlentendatensatze vorgesehen Ist. So kann ein Arzt auch bei Hausbesuchen 
die Informationen seiner elektronischen Patientenkartei nutzen und letztere auBer Haus 
direkt aktuell halten. Ein individueller Patientendatensatz kann Qber eine Krankenversi- 
chertenkarte aufgemfen und aktiviert werden, so daB die venwaltungstechnischen Be- 
suchsdaten direkt erfaBt werden. Wieder zurQck in seiner Praxis kann der Arzt dann die 
Daten auf seiner stationSren Computer-Zentraleinheit durch die mobile Einheit akluali- 
sieren. 
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Der Arzt nimmt hier also seinen eigenen Datensatz zum Patienten mit. anstatt vom Pa- 
tienten selbst dessen gesammelte Daten von verschiedenen Arzten und klinischen Ein- 
richtungen zur Verfugung gestellt zu bekommen. Arztliche Notdienste beispielsweise 
k6nnten dieses System bei unbekannten Patienten daher nicht nutzen. Es werden also * 
von Anwendem und nicht von den Personen, welche die Daten betreffen, nur be- 
schrdnkte Daten iediglich temporar transportabel abgespeiciiert. 

In der DE 38 15 633 C2 ist eine Datenverarbeitungsanordnung zur zentralen Bearbei- 
tung von medizinischen Daten offenbart. Hierbei werden transportable persSnliche 
Speichereinrichtungen venwendet. die fur eine voriibeigehende Speicherung von lau- 
fend erfaBten Biodaten ausgelegt sind. Zumindest in vorgegebenen Zeitabstanden • 
werden daher die gespeicherten Daten uber eine Telefonstrecke in die Datenverarbei- 
tungsanlage eines Hospitals Qbemiittelt. Sicherheitsaspekte spielen bei diesen Spei- 
chereinrichtungen daher keine Rolle. 

Die beiden Druckschriften enthaiten somit keine Qber Qbliche transportable Spei- 
chereinrichtungen hinausgehende Lbsungen hinsichtlich der dezentralen Archivierung 
von personlichen Daten. 

Aber auch in anderen Lebensbereichen ist die Zusammenstellung, Handhabung und 
VerfQgbarkeit von persSnlichen Daten aufwendig und fuhrt haufig nicht zum angestreb- 
ten vollumfanglichen Ergebnis. Neben der oftmals nicht ausreichenden Speicherkapazi- 
tat der auf Prozessor-Chipkarten verfQgbaren Datenspeicher fur die gewunschte Da- 
tenmenge besteht bei einer Speicherung auf transportablen Massenspeichem die Ge- 
fahr einer miBbrauchlichen Venwendung auf Grund einer fehlenden Zugriffsabsiche- 
rung, 

Es ist somit die Aufgabe der voriiegenden Erfindung, ein Personendaten-Archivierungs- 
system zu schaffen, das transportable, personliche Speichereinrichtungen zum Spei- 
chem und Aufbewahren von Personendaten beim Inhaber enthalt und einen hoheren 
Sicherheitsstandard als aus dem Stand der Technik bekannten Systeme ernibglicht. 
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Diese Aufgabe wird mit einem Personendaten-Archiviemngssystem nach dem An- 
spruch 1 gelfist. 

Durch die Erfindung ist somit bei einem gattungsgemd&en Personendaten-Archivie- 
rungssystem vorgesehen. da& den Speichereinriditungen BerechtigungsprUfeinrich- 
tungen zugeordnet sind, mitteis denen nur in Abhdngiglteit von einer positiven Berech- 
tigungs- und/oder Authentizitdtserkennung ein ZugrifF auf zumindest einige der auf den 
persOnlichen Speichereinrichtungen gespeicherten Personendaten freigebbar ist. 

Insbesondere sind durch die Erfindung die Sicherheitsnacliteile des Standes der Tecli- 
nilc behoben. Ein DatenmiBbrauch ist zumindest weitgehend unmoglich Oder wenig- 
stens in Anbetracht des erfbrderiictien Auiwandes unrentabel durchzufuhren. 

Dadurch, da& erfindungsgema& ein Zugriff zumindest auf einige der Daten nur nach 
erfolgter Authentisierung und Autorlsierung mdglicli ist. wird sicliergestellt. da& die 
mdglichenveise zusatzlich verschltisselten Daten fOr Unbefugte niclit zugdnglich sind, 
um diese Daten zur Infonnationsgewinnung zu decodieren. 

Wenn ein solcher berechtigungsabh^ngiger Zugriff nicht fQr sSmtliche Datenbereiche 
vorgeselien ist, Itbnnen auch Daten gespeicliert werden, die frei zugdnglicli sind, wie 
es beispielsweise fQr Nottelldaten von Vorteil sein kann. 

Als weiterer wesentlfcher Vorteil wird durch die Erfindung ferner die MSglichkeit ge- 
schaffen, gr6&ere persSnlnhe Datenmengen dezentral mit ausreichender Srcherheit zu 
speichem, wofDr transportable Speichereinrichtungen mit groQeren Speicherkapazitd- 
ten in das System integriert werden kbnnen. Solange namlich nicht die gewQnschte 
Sicherheit der gespeicherten Daten vor unberechtigtem Zugriff realisieri^ar war, war die 
entsprechende Speicherung solcher bedeutenden persbniichen Daten im Zustandig- 
keitsbereich jeder Person selbst aus Datenschutzgesichtspunkten nicht vernQnftig 
durchfOhrt>ar. Erst durch die voriiegende Erfindung kSnnen nun auch grolie Datenmen- 
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gen ausreichend geschtitzt werden, so daB nunmehr uberhaupt erst sinnvoll an die 
Einbindung entsprechend ausreichend groBer Speichennedien herangegangen werden 
kann, wie es beispielsweise durch bevorzugte Ausgestaltungen der Speichereinrich- 
tungen der Erfindung erfolgt 1st. D.h., daB es im speichertechnischen Sinn zwar grund- • 
satzlich kein Problem darstellt Massenspeicher fOr groBe Datenmengen bereitzustel- 
ten, derartige Spelchermedien aber nicht selbst die fQr die persbnitehen Daten erforder- 
iiche Zugriffesicherheit bieten. wie sie durch die Erfindung geschaffen wurde. 

Beispielsweise kann der Zugang zu den gespeicherten Daten sowie der Umfang dieses 
Zugangs z.B. auBer zu gespeicherten Notfalldaten ausschlieBlich vom Inhaber der 
Speichereinrichtungen bestimmt werden. 

Die Sicherheltseinrichtungen bei dem erfindungsgemSBen Personendaten-Archivie- 
rungssystem. d.h. die BerechtigungsprOfeinrichtungen, kdnnen bei einer gegenseitigen 
Identifizierung von Speichereinrichtungen und Zugriffeger«»n beginnen und Qber die 
Registriemng einer Benutzererkennung durch die BerechtigungsprOfeinrichtungen bis 
zur NachrichtenverschlQsselung und -authentifikation durch eine z.B. elektronische 
Unterschrift gehen. 

Durch die im Erfindungsumfang enthaltenen Sicherheitsoptionen wird ein6 auBerst ho- 
he Datensteherheiterreteht. wie sie beispielsweise nicht nur im medizinischen Bereich 
bislang noch nkiht realisiert werden konnte. 

Die Erfindung hat auBerdem den Vorteil, daB z.B, EDV-Hardware venwendet werden 
kann, die bereits als Massenprodukt fQr einen gQnstigen Preis zur VerfOgung steht. was 
den finanziellen Aufwand vemQnflig abschatzen ISBt und in verntinftigen niedrigen 
Grenzen halt Durch entsprechende Schnittstellen mit gangigen Praxisvenwaltungspro- 
grammen ist die Einbindung der vorgenannten Qblichen Hardware oder einer speziellen 
Hardware und entsprechender Software in die vorhandene Praxis-EDV eines Arztes 
, Oder einer klinischen Einrichtung leicht moglich, was in der Bundesrepublik Deutsch- 
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land Z.B. Qber die vorhandene Schnittstelle "Behandlungsdatentrager" (BDT) gew§hr- 
leistet ist. 

Beispielsweise bei einer Anwendung der Erfindung als Patientendaten-Archivienjngs- 
system kann eine direkte Personalisierung und Aktualisierung relevanter Daten in der 
Arztpraxis selbst erfblgen. Bereits jetzt ist absehbar, da& medizinische Daten zukQnftig 
immer mehr primdr auf z.B. digitalen Median erfaBt und gespeichert werden. Bei dem 
erfindungsgemaiien System wird der Patient in die Lage versetzt, sich die Daten noch 
in der Arztpraxis direkt auf sein Speichermedium Oberspielen zu lessen, insbesondere 
medizinische Daten fOr Ausweisfunktionen und die Auflistung von Diagnosen und Dau- 
ermedikationen. Weitere umfangreichere Text- und Bilddaten k6nnen altemativ zur 
Oberspielung auf die patientenspezifischen Speichereinrichtungen in der Arztpraxis in 
PersonalisieoingsbOros digitalisiert und auf die Speichereinrichtungen geschrieben 
werden. Eventuell kann vor einer Digitalisierung eine Verkleinemng oder sogar Mikro- 
verfilmung durchgefOhrt werden, um den Speicherplatzbedarf zu minimieren. 

Eine Alternative zu den persdnlichen transportablen Speichereinrichtungen kfinnte in 
der multimedialen Datenkommunikation ein allgemeiner Datenverbund in der ambuian- 
ten Medizin sein, was beispielsweise mit Hilfe der ISDN-Vemetzung realisiert werden 
kSnnte. Die Telemedizin wird bereits in Krankenhausem, Forschungsstatten und an 
Universitaten erprobt. Bei diesen Projekten geht es in erster Linie um Telekonsultation, 
also Z.B. den Austausch von diagnostischem Bildmaterial zum Zweck der gemeinsa- 
men Befundung. Daneben gibt es in diesem Bereich noch weitere sinnvolle Perspektl- 
ven, wie die Telekommunikation im administrativen Sektor oder die Teletherapie. 

In der ambulanten Medizin sind aber vfillig andere Voraussetzungen und Ziele gege- 
ben. In der ambulanten Medizin kommt der Patient zum Arzt oder umgekehrt Dabei 
kann der Patient problemlos als Oberbringer von Daten fungieren. wodurch keinerlei 
Kosten entstehen, wie es im Vergleich mit der Datenvemetzung der Fall wSre. Bei einer 
Datenaustauschvemetzung besteht weiterhin die Gefahr. Produkte und Dienstleistun- 
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gen am techntsch Machbaren auszurichten und dabei die tatsdchlichen Bedurfnisse 
des Patienten aus den Augen zu verlieren. 

Bei der Telemedizin mu& mit erheblichen Akzeptanzproblemen gerechnet warden. Der 
Austausch von persdnlichen medizinischen Daten Qber Datenautobahnen schOrt beim 
Patienten - vielleicht nicht zu Unrecht - die Angst vor dem "giasemen Patienten". Femer 
kdnnten bei einer Datenfemubertragung unautorisierte Personen eine Mdglichkeit ha- 
ben, an die gespeicherten Daten zu gelangen. 

Es liegt aber eine weitere Nutzungsm6glichl<eit der vorliegenden Erfindung darin, das 
Personen- oder insbesondere Patientendaten-Arcliivierungssystem und die Telemedi- 
zin synergetisch zu verbinden. So konnen die persOnliclien Speichereinrichtungen, wie 
beispielswelse eine Prozessor-Chipkarte In Verbuidung mit einem transportablen Mas- 
senspeicher unter EInbeziehung von geeigneten Zugriffisgerdten gleiclisam als Perl- 
pheriestation dienen und patientenbezogene Daten nach erfolgter Sclireibzugriffefrei- 
gat)e von verschiedenen Quellen aufhehmen. Oder in umgekehrter Richtung kann ein 
konsiliarisch hinzugezogener Arzt Dberz.B. das ISDN-Netz auf die Daten der Spei- 
ciiereinrichtungen zugreifen. sobald die Berechtlgungserkennung erfolgt ist. Bei einer 
nocii weiteren Anwendung kann ein Patient durch ein persdnliches Zugriffsgerdt bei 
einem Anruf bei einem Arzt beispielswelse parallel zum Gesprdch (iber den zweiten 
Kanat des ISDN-Ansclilusses dem Arzt seine Daten von den Speichereinrichtungen zur 
VerfQgung stellen, wobei er mit seiner eigenen Berechtigung fOr die Zugriffefreigabe 
sorgt 

Ein weiterer Vorteii der vorliegenden Erfindung liegt darin, da& bestehende Datensy- 
steme und -strukturen problemlos Qbemommen und weitergefOhrt werden kdnnen. Z.B. 
kann bei einem Patientendaten-Archivierungssystem durch die Obemahme vorhande- 
ner Protokolle fur einen Datenaustausch der in der Bundesrepublik Deutschland bereits 
eingefQhrten Krankenkassenkarte und des zugehSrigen Lesegerats ein frei zugangli- 
cher Bereich der Speichereinrichtungen - vorzugsweise eine als eine Art Text- oder 
Textaufeerchnungskarte fungierende Prozessor-Chipkarte - im Empfangsbereich jeder 
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Arztpraxis Oder in der Aufnahmestation jedes Krankenhauses in Deutschland gelesen 
werden. Der Zugriff auf die Notfalldaten ist zumindest gegen einen Zugriff durch Arzte 
nicht gescliQtzt, so daH diese Daten auch bei Bewustlosiglteit des Patienten zugSnglich 
sind. Alternativ l<ann als gewisser Schutz der Notfalldaten eine Zugriffegerateidentifilta- 
tion eingebaut sein. wobei Arzte und Rettungsdienste dann zweckma&igenveise Qber 
geeignete Zugriffsgerate verfDgen. Hierbel bezieht sich die AuthentizitatsprOfung bzw. 
der Authentizitdsnachweis auf z.B. das Lesegerdt selbst. Die Prozessorkarte, die ein 
Beispiel fiir einen geeigneten Speicliereinrichtungsteil ist, ermittelt in diesem Fall also 
bedienemnabhdngig, ob das jeweilige Lesegerat zugriffeberechtigt ist. Diese so gearte- 
te PrOfung kann auch fQr andere Datenbereiche als den Notfalldatenberelch venwendet 
werden. 

Eine andere Moglichkeit, die Daten, die die Versorgung fOr den medizinisclien Notfali 
betreffen in in einer Notsituation nicht hinderlicher Weise zu schUtzen, so da& sie nur 
einem bestimmten Personenkreis ohne gro&en Aufwand zugSnglich sind, besteht in 
einer Arztkarte, durch die eine entsprechende Zugriffefre^abe eneicht wird. Mit der 
Arztkarte Oder allgemein einer "Profikarte" oder Berechtigungskarte kann sich eine per 
se zugriffsberechtigte Person gewissennafien z.B. In ein Lesegerat einloggen. Bis zum 
Ausk>ggen der Person kdnnen Qber das Lesegerat die sowelt freigegebenen Daten auf 
den Speichereinrichtungen gelesen werden. Somit kann personenbezogen die Zu- 
griffsberechtigung medizinischer Leistungsbringer geregelt werden. 

In jedem Fall (auch dem vorher geschilderten) winj auf der beispielsweise als ein Tell 
der Speichereinrichtungen vorgesehenen Prozessorkarte nach einem Zugriff vermerkt, 
mit wetehen Lesegerat bzw. mit welcher Profikarte auf die Prozessorkarte zugegriffen 
wurde. So kann z.B. das Lesegerat eines bestimmten Krankenwagens ermittelt werden, 
Qber das ein Zugriff ausgefQhrt wurde. Ober den Dienstplan kann dann der Name des 
verantwortlichen Arztes ermittelt werden. Veriauft eine AuthentizitatsprOfung positiv, so 
erfolgt auch gleichzeitig die Autorisierung fQr einen Speicherzugriff durch z.B. die Pro- . 
zessorkarte selbst. 
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Nur die sonstigen Daten z.B. der Textkarte und einer Bild- oder Bildaufeeichnungsl^rte 
als Massenspeicher. die durch einen Massenspeicher gebildet ist, konnen beispiels- 
weise erst nach Eingabe einer nur dem Patienten bekannten. persdnlichen Identifikati- 
onsnummer (PIN) abgerufen werden. Die Eingabe der PIN erfolgt durch den Patienten • 
5 Ober eine separate Zahlentastatur im Sprechzimmer des Arztes. Auf z.B. der Prozes- 
sorkarte als einerseits Berechtigungseinrichtungsbestandteil und andereiseits Spei- 
chereinrichtungsteil ist gewissermaBen ein Inhaltsverzeichnis der gesamten Spei- 
chereinrichtungen hinterlegt. 

,0 Aktuelle Untersuchungsbefunde. wie Labor- oder Blutdruckwerte. Daten fQr Vor- und 
Nachsorgeuntersuchungen. Passe usw. konnen jederzert vom behandelnden Arrt di- 
fekt in der Sprechstunde zur laufenden Dokumentation erganzt werden. Ferner kfinnen 
Z.B. Krankenkassen Updates versenden. die mittels eigenen GerSten. beim Arzt oder 
bei der Krankenkasse installlert werden kannen: Diese Daten kbnnen auf einem Mas- 
„ senspeicher beispielsweise in verschlOsselter Form vorliegen. Nur durch einen chipkar- 
ten-gestOtzten oder -freigegebenen Zugrrff sind bei einem AusfQhningsbeispiel diese 
Daten entschlQsselbar. wofQr wegen der eventuell sehr groUen Datenmenge ein Co- 
prozessor als Kryptoeinheit eingesetzt wird. die z.B. ebenfalls auf der Chipkarte ange- 
ordnet ist. 



20 



GemSB einer vorteilhaften Weiterbildung der Erfindung kann mittels den Berechti- 
gungsprOfeinrichtungen eine Mehrzahl von PrQfstufen ausfQhrbar sein. Der damit er- 
zielbare Vorteil liegt darin. daB die gespeicherten Daten abgestuft vor unberechtigten 
Zugriffen geschOtzt werden kOnnen. So kann es beispielsweise wQnschenswert sein. 
da& zumindest im eigenen Beisein ein Apotheker auf Infomiationen betreffend bisher 
verabreichte Medikamente zugreifen kann. ein Sachbearbeiter einer Bank bei einem 
Bankwechsel Dauerauftrags- und EinzugsemiSchtigungsdaten in die Datenbank des 
neuen Instituts QberfQhrt. ein Taxifahrer sich die exakt bezeichnete Zieladresse auf sei- 
nem Display anzeigen lassen kann. urn nicht durch einen Verstandigungsfehler zu eh 
nem falschen Ziel zu fahren oder das Ziel nicht zu kennen. usw. 
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Bei einer bevorzugten Ausgestaltung der Erfindung enthalten die Speichereinrichtun- 
gen zumindest teiiweise ein zum Hinzufiigen und/oder Andem von Personendaten be- 
schreibbares und insbesondere wiederbeschreibbares Speichermedium. Damit kdnnen 
in vorteilhafter Weise die gespeicherten Informationen problemlos aktuell gehaiten wer- ■ 
den, ohne bei Datendnderungen Oder -hinzufDgungen immer wieder neue komplette 
Speichereinrichtungen herstellen zu mQssen, was Im Hinblick auf eine mdglichst grofie 
Sicherheit in Abhdngigkeit von konkreten Anwendungsfailen aber auch Vorteile hat. Ein 
wiederbeschreibbares Speichemfiedium hat den Vorteil, da& der vorhandene Spei- 
cherplatz optimal genutzt werden kann, da keine unndtigen oder veralteten Daten ge- 
speichert bleiben. Ein einmalig beschreibbares Speichermedium hat den Vorteil, daG 
Daten nicht versehentlich geldscht werden und dabei unwiederbringbar verloren gehen 
kdnnen. ^ 

Dadurch, da& die BerechtigungsprQfeinrichtungen zum Freigeben eines Lese- und/oder 
Schreibzugriffe auf das beschreibbare Speidiermedium in Abhangigkeit von einer ins- 
besondere entsprechenden Berechtigungs- und/oder Authentizitdtserkennung ggf. in 
einer zugehdrigen PrOfstufe ausgelegt stnd. kann vorteilhaft sichergestellt werden. da& 
die Zugriffsberechtigung mdglichst praxisgerecht handhabbar ist. Dasselbe trifft fQr den 
Fall zu, dafi zumindest ein Teii des beschreibbaren Speichermediums schreibgeschQtzt 
Oder schreibschQtzbar ist. wie bei einer Wetterbildung der Erfindung vorgesehen ist. 

Wenn die Speichereinrichtungen einen ersten Teil und zumindest einen zweiten Teil mit 
insbesondere unterschiedlichen Speicherkapazitdten enthalten, wird eine Grobeintei- 
lung der zu speichemden oder gespeicherten Daten mdglich, wobei z.B. ein kleiner. 
schneller Speicher fQr haufig genutzte Daten und ein groKer, langsamer Speicher fQr 
selten bendtigte groKe Datenmengen mit Vorteil einsetzbar ist. Ferner kann ein Spei- 
cher fQr die Entscheidungsfindung der BerechtigungsprQfeinrichtungen erforderiiche 
Informationen enthalten, wodurch auch der andere Speicher geschQtzt wird. 

Bei einer bevorzugten AusfQhrungsform der Erfindung ist der erste Teil der Spei- 
chereinrichtungen kapazitatsmSBig am kleinsten und ein Ausweis-, Identifikations- oder 
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Stammdatenspeicherteil. Praktischerweise kann gemaB einer Weiterbildung dieser 
AusfQhmng auf die auf dem ersten Teil der personlichen Speichereinrichtungen ge- 
spelcherten Personendaten, wie Ausweis-, Identifikations- oder Stammdaten. unab- 
hangig von den Berechtigungsprilfeinrichtungen oder mit eIner positiven Berechti- 
gungs- und/oder Authentizitdtseikennung in einer ersten PrQfetufe der Berechtigungs- 
prQfeinrichtungen zugegriffen werden. Damit stelit ein Spelcher zur Verfiigung. der z.B. 
zum Speichem von Notfalldaten geeignet ist, die auch ohne Mitowirkung des Inhabers 
zugdnglich sein soltten. 

Eine besonders bevorzugte AusfOhrungsform der Erfindung ist dergestalt, daa nur in 
Verbindung mit wenigstens dem ersten Teil der Speichereinrichtungen auf zumindest 
einen zweiten Teil der Speichereinrichtungen zugegriffen werdenr kann. Dies ist eine 
besonders sichere Struktur, urn einen unbefugten Zugriff auf die Informationen im 
zweiten Teil der Speichereinrichtungen auszuschlieten. 

In weiteier AusgestaKung beispielsweise der vorstehenden AusfOhrungsform ist erfin- 
dungsgemaB bevorzugt, da& der zweite, relativ zum ersten Teil kapazitatsmaBig grOBe- 
re Teil der Speichereinrichtungen ein Detaildatenspeicherteil ist. dessen Inhalt somit 
besonders sicher ist. Diese Sicherheit kann weiter dadurch ertidht werden, daB auf die 
auf dem zweiten Teil der persbniichen Speichereinrichtungen gespeicherten Personen- 
daten, wie Detaildaten. nur in AbhSngigkeit von einer positiven Berechtigungs- 
und/oder Authentizitatseritennung ggf. in einer zweiten Priifstufe mittels der Berechti- 
gungsprOfeinrichtungen zugreifbar ist. 

Eine weitere besonders bevorzugte Realisierung der Erfindung besteht darin, daB die 
wenigstens ersten und zweiten Telle der Speichereinrichtungen durch separate erste 
bzw. zweite Speichen/orrichtungen insbesondere auf verschiedenen ersten bzw. zwei- 
ten DatentrSgem gebildet sind. Die raumliche Trennung der Speichereinrichtungsteile 
insbesondere auf separaten Datentragem tragt in vorteilhafter und besonders einfacher 
, Weise zu einer hohen Sichertieit des erfindungsgemaBen Systems bei, da es dadurch 
mOglich ist. den Datentrager mit den kritischeren Oaten sicher aufzubewahren, solange 
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er nicht benOtigt wird. was meist relativ selten der Fall ist. Femer kann das System so 
eingerichtet sein. wie waiter oben angegeben ist. daft auf den zweiten Speichereinrich- 
tungsteil nur in Kombination mit dem ersten Speichereinrichtungsteil zugegriffen wer- 
den l<ann. Wird somit dafOr gesorgt, daB niclit beide Speichereinrichtungsteile gemein- • 
sam abhanden Icommen kbnnen, sind die Daten auf dem zweiten Speichereinrichtungs- 
teil absolut sicher. 

GemaB bevorzugten AusfQhrungen der Erfindung ist der erste Tell der Speicheieinrich- 
tungen bzw. die erste Speichervorrichtung eine magnetische, magneto-optische Oder 
optische Speicherflache Oder ein Spelcherchip insbesondere auf oder in einer vor- 
zugsweise etwa scheckkartengroBen Kunststoffkarte als Datentrflger. Femer ist der • 
zweiteTeil der Speichereinrichtungen bzw. die zweite Speichervorrichtung bevorzugt 
ein elektronischer, magnetischer (z.B. Diskette oder Streamer-Tape), magneto-opti- 
scher oder optischer (z.B. CD-ROM ggf. beschreibbar oder WORM: "Write Once Read 
Many") Massenspeicher insbesondere in Form einer 2,5 oder 3,5 Zoll groBen Diskette 
Oder ein Halbleiterspeicher einer PCMCIA-Einheit (Personal Computer Memory Card 
International Association) als DatentrSger. Als eine derartige Kombination kSnnen bei- 
spielsweise eine Prozessor-Chipkarte mit den BerechtigungsprQfeinrichtungen und ei- 
nem kieineren Speicher und eine MO- (magneto-optische) Platte zur Speichemng gro- 
Ber Datenmengen einschlieBlich Bildem kombiniert eingesetzt werden. wobei der Zu- 
griffsschutz der MO-Platte durch die Prozessor-Chipkarte erfolgt. fiir einen Zugrlff auf 
die MO-Platte also zumindest die Prozessor-Chipkarte vorhanden sein muB, 

Die Vertellung z.B. medizinischer Informationen aiif beispielsweise eine Prozessor- 
Chipkarte und ein Massenspeichermedium gewfthrleistet einen per se abgestutten Da- 
tenzugang und somit eine hohe Sicherheit. die weiterhin dadurch erhSht wird. daB die 
Chipkarte gewissermaBen als SchlUssel einerseits fQr einen Zugriff auf die auf ihr selbst 
gespeicherten Daten und andererseits auf das Massenspeichemiedium fungiert. Zu- 
satzlich kfinnen auch noch die Daten auf dem Massenspeichermedium verschlOsselt 
sein, um eine noch hfthere Sicherheit zu gewahrleisten. 
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Als Prozessor-Chipkarte, die bei der vorstehend beschriebenen Kombination mit einem 
Massenspeicher als 'Textkarte" fungiert, kann eine Prozessorkarte entsprechend den 
gettenden DIN-Vorschriften oder ISO-Standards mit einer Speicherkapazitat von acht 
Oder sechszehn Kilobytes venwendet werden, was bei einer Komprimierung der darauf - 
zu ^ichemden Daten eine ausreichende informationsmenge fQr Notfdlle und Ober- 
sicliten ermOglicht. Der Massenspeicher. der aucli als "Blldspeicher" bezeichnet wer- 
den kann. hat als Minidisk oder magneto-opische Platte (MO-Platte) betspielsweise ei- 
ne Kapazitat von 140 Megabyte oder soger bis zu 650 Megabyte. MO-Platten sind mit 
2,3 Oder 3,5 Zoll relativ klein und handlich und kdnnen ausreichend groBe Datenmen- 
gen aufrtehmen. Hinzu kommt, daK die Daten auf einer MO-Platte beliebig oft uber- 
schrieben, aber unter Alltagsbedingungen nicht versehentlich geloscht werden konnen. 

Die Textkarte speichert in Schriftform vorliegende Informationen und leistet durch eige- 
ne "Intelligenz" den Zugriffsschutz fQr beide Datentrager beispieisweise unter Bnbezie- 
hung von VerschlQsselungsalgorithmen, wdhrend die Bildkarte die Speicherung von 
gro&en Datenmengen ubemimmt. also von Abbiklungen (RSn^en-, Ultraschall- und 
Endoskopiebllder usw.), von Biosignalen (z.B. EKG, EEG) oder auch von Texten zur 
Anamnese, die auf der Prozessorkarte keinen Platz mehr finden. Insbesondere kann 
die Textkarte bei einem Patientendaten-Archivierungssystem Informationen, wie Ver- 
waltungsdaten, einen Notfall-Ausweis. Anamnese, Befund, Vor- und Nachsorge sowie 
einen PaB u.d. enthalten. 

FQr die Erfindung kommt es jedoch nicht darauf an. ob und ggf. wie die Speichemnedi- 
en zusammengesetzt sind. sondem nur darauf, daft ein wirksamer Zugriffsschutz reali- 
siert ist. Beispieisweise kann ein optischer Speicher mit sehr gro&er Kapazitat auch als 
einziger Speicher venwendet und auf einer etwa scheckkartengroBen Kunststoffkarte 
untergebracht werden. Durch physikalisches Lochbrennen sind beispieisweise Spei- 
cherkapazitaten im Bereich von 1 Gigabyte pro cm^ Kunststoffolie als Datentrager mog- 
lich. so da& bezQglich einer so ausgestalteten Karte exteme Massenspeicher unnStig 
sind. 
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Ein vorzugsweiser Aufbau der Erfindung besteht darin» daB zumindest einem Teil der 
Speichereinrichtungen Prozessoreinrichtungen zugeordnet sind, die vorzugsweise auf 
dem Datentrager, wie z,B. einer Kunststoffkarte. angeordnet sind und insbesondere 
einen Prozessor enthaiten. Besonders vorteilhafl konnen derartige Prozessoreinrich- 
tungen for die BerechtigungsprQfeinrichtungen genutzt werden. Die Prozessoreinrich- 
tungen gewahrteisten dabei durch eine eigene *'intelligenz*' den Zugriffsschutz fOr die 
Speichereinrichtungen. Dabei ist weiterhin bevorzugt, da& die Prozessoreinrichtungen 
zur Steuerung von zumindest Teilen der Speichereinrichtungen und/oder zur wenig- 
stens teltweisen Steuerung von Zugriffen auf letztere und/oder insbesondere als Teil 
der Berechtigungsprufeinrichtungen ausgelegt sind. 

Zur Erhohung der Datensicherheit ist es femer von Vorteil, wenn den Speichereinrich- 
tungen Kryptoeinrichtungen vorgeschaltet sind, deren Betrieb insbesondere mittels der 
Berechtigungsprufeinrichtungen zur Beari^eitung von Zugriffen auf die Speichereinrich- 
tungen freigebbar ist. D.h., da& ein Ver- und EntschlQsseIn der gespeicherten Daten 
von einer Zugriffsfretgabe durch die Berechtigungseinrichtungen abhdngt Bevorzugt 
sind die Kryptoeinrichtungen in ggf. vorhandenen Prozessoreinrichtungen enthalten 
und weisen vorzugsweise einen Kryptoprozessor auf. 

Wenn ein Teil der Speichereinrichtungen und/oder die Berechtigungsprufeinrichtungen 
auf einer Prozessor-Chipkarte realisiert sind, kann beispielsweise letztere auch eine 
Kryptoeinhert aufnehmen. Prozessoreinrichtungen k5nnen aber auch ganz oder teilwei- 
se in einem ZugriffegerSt oder in zugeordneten Rechnereinrichtungen untergebracht 
sein. 

Allgemein kdnnen Kryptoeinrichtungen z.B. ein asymmetrisches Verschlusselungsver- 
fahren (RSA) ven^venden. 

Um zu verhindern, daR unenwunschte Kopien der gespeicherten Daten angefertigt wer- 
den kdnnen. sieht eine Fortbildung der Erfindung vor, daB Kopierschutzeinrichtungen 
vorgesehen sind. mittels denen ein Speichem von zumindest einigen Daten, die auf 
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den persenlichen Speichereinrichtungen. insbesondere ggf. deren zweiten Teil, gespei- 
chert sind. auf bezOglich letzteren extemen Speichem unterbindbar ist und/oder ein 
Speichem von zumindest einigen Daten, die auf dem ersten Teil der Speichereinrich- 
tungen gespeichert sind, auf bezQglich letzteren externen Speichem zulaBbar sind. 
Letzteres erm6glicht z.B. die problemlose Obemahme von Patientenname. -adresse 
und Kranl<enl<assendaten fOr die RezeptaussteHung und Behandlungsabrechnung. 

In ahnlicher Weise wirlten Druckausgabeschutzeinrichtungen. die vorgesehen sein 
kSnnen und mittels denen eine Dnjckausgabe von zumindest einigen Daten unterbind- 
bar ist, die auf den pers5nlichen Speichereinrichtungen, insbesondere ggf. deren 
zweiten Teil, gespeichert sind und/oder ein Drucken von zumindest einigen Daten zu- 
la&bar ist, die auf dem ersten Teil der Speichereinrichtungen gespeichert sind. Letzte- 
res ermeglichteine problemlose Erstellung z.B. eines schrittlichen Behandlungsberichts 
fQr einen Arzt. 

Urn zu verhindem, da& die einer Person genehmigte Einsichtnahme in die Daten durch 
Hanvare-Einrichtungen gleichzeitig unbeabslchtlgt beisplelsweise Qberzusatzliche BiW- 
schimie Oder mittels Netzwerkkarten sogar andere Rechner auch weiteren Personen 
zuganglich sind, sollten Ausgabebeschrankungseinrichtungen vorgesehen sein. mittels 
denen eine Ausgabe von zumindest einigen Daten, die auf den persbniichen Speicher- 
einrichtungen. insbesondere ggf. deren zweiten Teil. gespeichert sind. auf mehr als ein 
Ausgabemedium unterbindbar ist 

Um jedoch willentliche Kopien, Druckausgaben und Mehrbildschirmanzeigen, Netz- 
werkQbertragungen etc. der aufgerufenen Daten zuzulassen. kdnnen die entsprechen- 
den vorgenannten Schutzeinrichtungen mittels der Berechtigungsprilfeinrichtungen 
durch eine entsprechende positive Berechtigungs- und/oder Authentizitatserkennung 
ggf. in einer zugehorigen Priifstufe neutralisiert werden. 



Eine einfache. schnelle und wirkungsvolle Sicherungseinrichtung besteht darin. daB die 
Berechtigungspriifeinrichtungen ausgelegt sind, Ger^ekennungen von Zugriffsgeriten 
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far die Handhabung der Speicherelnrichtungen in eine Prilfung zur Berechtigungs- 
und/oder AuthentizitStserkennung ggf. zur ErfQIIung einer Insbesondere ersten PrQfstu- 
fe einzubeziehen. Eine derartige Berechtigungspriifung kann z.B. fQr eine Zugriffsfrei- 
gabe auf Notfalklaten ausreichend sein und durch Bereitstellen entsprechender Zu- 
griffisgerate fOr Notdienstpersonal oder -fahrzeuge sicher reallsiert werden. 

Zusatzlich Oder altemativ kOnnen die persdnlichen Speichereinrichtungen Kennungen 
aufweisen, die von den BerechtigungsprQfeinrichtungen in eine Prafung zur Berechti- 
gungs- und/oder AuthentizitStserkennung ggf. zur ErfQIIung einer insbesondere ersten 
PrQfstufe einbeziehbar sind. Damit kann beispielsweise sichergestelK werden. da& es 
sich nicht urn gefaischte Speichereinrichtungen handelt, deren falsche Daten im medi- 
zinischen Berelch zu einer gefShrlichen Falschbehandlung fOhren kfinnen. Auch daran 
ist deutlich zu sehen, wie wichtig z.B. im Bereich der Patientendatenarchivierung die 
zuveriassige Bereitstellung der richtigen Daten Ist. 

Die be! der voriiegenden Erfindung bevorzugt eingesetzten Slcherheitskomponenten 
sind Benutzer- und/oder Inhaberldentifikationen von zumindest einem Anwender bzw. 
dem Inhaber, dessen Daten in den Speichereinrichtungen archiviert sind. Derartige 
Kennungen werden von den BerechtigungsprQfeinrichtungen vorzugsweise In eine 
Prufung zur Berechtlgungs- und/oder Authentizitatserkennung ggf. zur ErfQIIung einer 
Insbesondere zweiten PrQfstufe und ggf. welterer PrOfstufen zur Freigabe eines Zugriffs 
auf zumindest einige der auf den persdnlichen Speichereinrichtungen gespeicherten 
Personendaten einbezogen. 

Besondere einfache Mftglichkelten zur Eingabe von Anwenderkennungen, wie eine Be- 
nutzer- bzw. Inhaberidenliflkation. fQr die BerechtigungsprQfeinrichtungen erfolgt Qber 
manuelle und/oder elektronlsche Eingaben, wie beispielsweise von einer Berechti- 
gungskarte. 

Urn jederzelt vorgenommene Infonnationszugriffe und Eintrage personeli zuordnen zu 
kbnnen, Ist es vorteilhaft, wenn durch die BerechtigungsprQfeinrichtungen zugelassene 
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Zugriffe auf den Speichereinrichtungen mit den dafur relevanten Daten, wie Gerateken- 
nungen von ZugriffegerSten und/oder Benutzer- und/oder Inhaberidenttfikationen, ins- 
besondere auf den Speichereinrichtungen selbst dokumentierbar sind. 

Urn dem Inhaber der Speichereinrichtungen die darin oder darauf enthaltenen Infomia- 
tionen zugSnglich zu machen. oder urn ihm selbst Aktualisierungen zumindest bestimnri- 
ter Daten zu ermeglichen, sind bei einer vorzugsweisen Ausgestaltung des erfindungs- 
gemSBen Systems persdnliche Zugrifisger§te vorgesehen, mittels denen vom Inhaber. 
dessen Daten in den Speichereinrichtungen archiviert sind. und/oder von Anwendem 
der Speichereinrichtungen in AbhSngigkeit von einer insbesondere entsprechenden 
Berechtigungs- und/oder Authentizitatseri<ennung ggf. in einer zugehorigen Priifstufe 
auf zumindest einige der archivierten Daten zum Zweck der Infonnation. Datenande- 
rung/-erganzung und/oder Weitergabe auch Qber DatenfemQbertragung zugreifbar ist. 
Damit kfinnen z.B. auch bei telefbnischen Beratungen. Vereinbarungen. Bestellungen 
etc. erforderiiche Daten problemlos dem Gesprachspartner zur VerfQgung gestellt wer- 
den. Eine deiartige DatenfemObertragung wirird z.B. durch das zweikanalige ISDN-Netz 
begOnstigt. in dem ohne vi^eiteres die GesprSchs- und die DatenQbertragung gleichzei- 
tig miigiich sind. 

FQr Kunden-, Patienten- und Mandantenbesuche einerseits und die /Vrbeit in der Fim>a. 
Praxis bzw. Kanzlei andererseits ist es waiter von Vorteil. wenn mobile und/oder statio- 
nare Zugriffegerate vorgesehen sind. mittels denen von Anwendem in Abhangigkeit von 
einer insbesondere entsprechenden Berechtigungs- und/oder Authentizitatseritennung 
ggf. in einer zugehOrigen PrQfetufe auf zumindest einige der archivierten Daten zum 
Zweck der Infonnation und/oder DatenandemngZ-erganzung zugreifbar ist. Dadurch 
kann das System Qberall und jederzeit einsatzbereit gehalten und konnen z.B. auch 
Rettungsfahrzeuge, Polizeifahizeuge usw. problemlos so ausgestatlet warden. dalS 
eine Nutzung der gespeicherten Informationen an jeglichem Einsatzort mdglich ist. 

, FQr die Kosten der Zugriffsgerate ist es von Vorteil. daB letztere beispielsweise grund- 
satzlich fur einen Schreib- und/oder Lesezugriff ausgelegt sind. wobei zumindest auf 
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einige der auf den persdnlichen Speichereinrichtungen gespeicherten Personendaten 
eben in Abhangigkeit von einer insbesondere entsprechenden Berechtigungs- und/oder 
Authentizitatserkehnung ggf. in einer zugeherigen PrOfstufe zum Schreiben und/oder 
Lesen zugegriffen werden kann. 

Fflr die bereits weiter oben angegebene besonders einfache BerechtigungsQberprQfung 
ist vorgesehen. daK die Zugriffegerate Geratekennungen aufweisen, die von den Be- 
rechtigungsprOfeinrichtungen zur PrQfung einer Berechtigungs- und/oder Autlientizi- 
tatserkennung ggf. zur ErfQIIung einer insbesondere ersten PrOfstufe erfaBbar sind, und 
da& die Geratekennung vorzugsweise durcln eine in zumindest ein Zugriffsgerat ein- 
gebbare Anwenderkennung aktivierbar ist. 

Das System kann besonders kostengUnstig und einfach aufgebaut werden. wenn zum 
Ansteuem der Zugriffegerate herkOmmliche Rechnereinrichtungen. vi>ie PCs. vorgese- 
hen sind. Weiterhin wird ein gOnstiger Aufbau des erfindungsgemaBen Personendaten- 
Archivierungssystems dadurch gefSrdert. daB die Zugriffegerate entsprechend den 
Fonnaten von die Speichereinrichtungen aufhehmenden Datentragem Kartenlesegera- 
te for Z.B. Magnetstreifen- oder Chipkarten. Diskettenlaulwerke fOr z.B. magnetische. 
magneto-optische oder optische Disketten, CD-ROM-Laulwerke und/oder Aufnahmen 
for PCMCIA-Einheiten enthalten. wie sie insbesondere weitverbreitet angeboten war- 
den. Ein Sicherheitsrisiko entsteht dadurch nicht, da die Datensicherheit durch die Be- 
rechtigungsprOfeinrichtungen gewahrleistet wird. Femer kbnnen herkommliche Rech- 
nereinrichtungen, einschlieaiich wenigstens Bildschinn. Tastatur und Drucker. kosten- 
gOnstig als Anzeige- und Ein-/Ausgabegerate von Paten vorgesehen werden. 

Eine besonders effiziente. sichere und zuveriassige Ausgestaltung der Zugriffegerate 
sowie ein entsprechender Betrieb des Systems nach der Erfindung besteht darin. daB 
zumindest zwei Zugriffegerate zur Zusammenschaltung von entsprechenden Datentra- 
gem der Speichereinrichtungen insbesondere zu einem Gesamtgerat kombiniert sind 
. und diese Zusammenschaltung von den BerechtigungsprOfeinrichtungen zum Berechti- 
gungsnachweis oder ggf. als eine erste PrOfetufe erfaBbar ist. Beispielsweise kann ein 
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kombinlertes Zugriffsgerflt fiir eine Prozessor-Chipkarte und einen Massenspelcher als 
Bestandteile der Speichereinrichtungen vorgesehen werden. Die Berechtigungsprii- 
feinrichtungen kdnnen hierbei besonders einfach realisiert werden, da die Schaltung 
fest vorgegeben sein kann. Insbesondere kdnnen die Sicherheitseinrichtungen in Form * 
der Berechtigungsprtifeinrichtungen unabhdngig vom Betriebssystem eines zur Steue- 
rung, Bedienung und Auswertung venivendeten Rechners betrieben warden. Vor aliem 
bei dieser AusfQhmngsfonfn, aber grundsatzlich auch jeder anderen geeigneten Gestal- 
tung der Erfindung, kann besonders einfech und effizient eine Zugriffisgeratekennung 
zum Datenschutz eingesetzt werden. 

ZunSchst kann dabei eine Autorisierung des Benutzers erfolgen. Es wini nur dann ein 
Zugriff auf das Speichermedium eriaubt. wenn das verwendete Zugriffegerat. das ein 
geeignetes Laufwerk sein kann, insbesondere fUr zwei Datentrager, wie z.B. eine Pro- 
zessor-Chipkarte und eine Minidisk, mit einer Kennung ausgestattet ist Dadurch wird 
gewflhrleistet, da& nur entsprechend ausgerOstete Zugriffsgerdte. die auch nur fOr ein- 
zelne Datentrager ausgelegt sein kdnnen, fOr Schreib- und/oder Leseoperationen be- 
nutzt werden kdnnen. was sicherstelit, da& nur dafQr autorisierte Einrichtungen Zugang 
zu den Daten der Speichereinrichtungen erhalten. 

Bei einem AusfQhrungsbeispiel der Erfindung haben zur Datensicherung sowohl das 
Lesegerat einer Prozessor-Chipkarte als auch das Laufwerk einer Diskette je eine Ken- 
nung. Dabei ist die Diskette nur lesbar, wenn die Lesegeratekennung die Prozessorkar- 
te autorisiert und gleichzeit'^ die Laufwerkskennung die Diskette autorisiert und gleich- 
zeitig die Prozessorkarte die Diskette freigibt 

Femer kann bereits fiber die ZugriffegerStekennung jeglicher Zugriff auf die Daten der 
Speichereinrichtungen dokumentiert werden. Dies wQrde in der Weise erfolgen, da& bei 
Venwendung des Zugriffsgerats, wie eines einzelnen Oder fOr mehrere Speichervorrich- 
tungen kombinierten Laufwerks, die entsprechende Kennung als Stempel an einem 
dafur vorgesehenen Speicherplatz z.B. auf der Prozessor-Chipkarte als Teil der Spei- 
chereinrichtungen hinterlassen wird. 
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SchlieBlich ist Qber die aufgezelchnete ZugriffsgerStekennung eine Identifikation des 
Benutzers mfiglich. Damit kann nachgewlesen werden, in welcher Arztpraxis oder in 
welchem Rettungswagen auf die Daten der Speichereinrlchtungen zugegriffen wurde. 
Durch entsprechende Ma&nahmen. wie z.B. tumusmaUiger Wechsel der Kennung. 
kann damit auch fOr die Authentifikation des Benutzers gesorgt werden. 

Damit ein sicherheitstechnisch zwar nicht zu fOrchtender, infbnmationstechnisch jedoch 
auBerst unangenehmer Datentragerveriust sich nicht negativ auf die Datenarchivierung 
auswirkt, sollten von alien Datentragern Sicherungskopien erstellt und aufbewahrt wer- 
den. Bevorzugt sind die Zugriffegerate ausgetegt. oline Berechtigungsnachweis oder 
ggf. in einerersten Prflfetufe Sicherungskopien der transportablen. persbnlichen Spel- 
chereinrichtungen zu erstellen. Besondere SicherheitsmaBnahmen sind dabei deshalb 
nicht zu beachten, da fOr den Zugriff auf Kopien der Speichereinrichtungen dieselben 
MaBgaben gelten. wie for die Originale. 

FQr einen bevorzugten Einsatz des erfindungsgemdBen Personendaten-Archivierungs- 
sysfem sind gewlsse Anpassungen an die Handhabung von Patientendaten vortellhaft, 
wie Z.B., daS das System zum Speichem und Aufbewahren von Patientendaten, ein- 
schlieBlich schriftlicher und graphischer Unterlagen, beim Inhaber ausgelegt ist. Dafiir 
kann das System geeignete Eingabemedien, wie einen Scanner enthalten. 

Voizugsweise enthait der erste Teil der Speichereinrichtungen einen NotfalWatenspei- 
cherbereich. in dem Venwaltungsdaten und die Daten eines Notfallausweises, eines 
Organspendeausweises, Notfalltestaments u.a. des Inhabers speicherbar sind. Ein Zu- 
griff auf diese Daten sollte durch die BerechtigungsprQfeinrichtungen frei oder mit nur 
einer Arzt- oder Rettungsdienstkennung. die vorzugsweise Qber eine spezielle Arzt- 
oder Rettungsdienstkarte oder eine Arzt-/Rettungsdienst-Zugriffsgeratekennung in die 
BerechtigungsprOfeinrichtungen eingebbar ist, oder mit nur einer Inhaberkennung frei- 
gebbar sein. 
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Weiterhin ist es bevorzugt, daB der erste Teil der Speichereinrichtungen einen Ober- 
sichtedatenspeicherbereich enthSIt, in dem eine Auflistung wichtiger anamnestischer 
Daten. einschlie&lich einer ggf. erfolgten Verabreichung von Blut Oder Blutprodukten 
und eine Dokumentation wichtiger Gesundheits-ZKrankheitsdaten. einschlie&lich Aller- 
gie-, Impf-. R6ntgen-. Schrittmacher-, Diabetiker-, Medikamentendaten u.a.. analog ei- 
ner aritlichen Patientenkarte gespeichert werden kann. Zusdtzlich zu den vorstehen- 
den im Zusammenhang mit den Notfalldaten angegebenen Zugriffeberechtigungen 
kann hier noch ein Zugriff durch Krantenkassen mittels einer entsprechenden Kennung 
vorgesehen sein. 

Alle diese Zugrifferechte kSnnen femer fiir einen im ersten Teil der Speichereinrichtun- 
gen enthaltenen Behandlungsdatenspeicherbereich, in dem ein vorgegebener zeitlicher 
Rahmen und eine voi^egebene inhaltliche Struktur von Vorsorgeuntersuchungen sowie 
Untersuchungen im Rahmen der Nachsorge chronischer und/oder bdsartiger Erkran- 
kungen speicherbar sind, und fQr einen optionalen oder zusStzlichen Nachweisdaten- 
speicherbereich eingestellt sein, der im ersten Teil der Speichereinrichtungen enthalten 
ist und in dem zumlndest eine vorgebbare Anzahi und/oder Art von Zugriffen auf die 
Speichereinrichtungen insbesondere einschlie&lich der jeweils erfolgten vorzugsweise 
individuellen Berechtigungs- und/oder AuthentizitStserkennung und vorgenommenen 
Zugriffsart im einzelnen speicherbar ist. 

Eine vorzugsweise Gestaltung des ersten Teils der Speichereinrichtungen kann einen 
Dokumentationsbereich enthalten, in dem die im Laufe des Lebens des Inhabers der 
Speichereinrichtungen anfallenden relevanten Gesundheits-ZKrankheitsdaten ein- 
schlie&lich Anamnese. Diagnosen, Befunde wie Labor-. Blutdruckwerte. etc. speicher- 
bar sind. 

Eine vorzugsweise Gestaltung des zweiten Teils der Speichereinrichtungen kann einen 
Dokumentationsbereich enthalten, in dem alle Originalunterlagen von Arztberichten, 
Zeugnissen. Rdntgen-, Ultraschall-, Computertomographie-, Endoskopieabbildungen 
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usw., Blosignale, wie EKG- und EEG-Daten etc.. direkt oder als Graphiken u.Si. spei> 
cherbar sind. 

Bin Zugriff auf die vorgenannten Dokumentationsbereiche ist zumindest soweit durch 
die Berechtigungsprufeinrichtungen einzein oder in Kombination mit einer Arztkennung, 
welche vorzugsweise Qber eine spezielle Arztkarte oder eine Arzt-Zugriffsge- 
ratekennung in die BerechtigungsprQfeinrichtungen eingebbar ist. mit einer inhaber- 
kennung und/oder einer Krankenkassenkennung fireigebbar. 

Auch der zweite Teil der Speichereinrichtungen kann be! einer bevorzugten Ausgestal- 
tung einen Nachweisdatenspeicherbereich entiialten, der grundsdtzlich genauso funk- 
tioniert. wie der Nachweisdatenspeicherbereich im ersten Teil der Speichereinrichtun- 
gen. Eine vorteilhafte Weiterbildung davon besteht darin. da& der Nachweisdatenspei- 
cherbereich im ersten Teil der Speichereinrichtungen schieberegisterartig aufgebaut ist. 
so da& sein Sitester InhaK zur insbesondere endgOltigen Abspeicherung in den Nach- 
weisdatenspeicherbereich des zweiten Toils der Speichereinrichtungen zur Platzschaf- 
fung fQr einen Neueintrag im Nachweisdatenspeicherbereich im ersten Teil der Spei- 
chereinrichtungen Piatz verschiebbar ist. Damit kdnnen die Nachweisdaten jederzeit 
gespeichert werden. Es kann insbesondere auch bei anderen Einsatzgebieten des per- 
sdnlichen Archivierungssystems nach der Erfindung vorgesehen werden, da& nur die 
letzten etwa drei bis funf Zugriffsinformationen gespeichert bleiben und aitere Zugriffs- 
informationen gel5scht werden. 

VorteilhaftenAfeise kann eine bereits bestehende und bet der BevOlkerung eingefuhrte 
Karte, wie eine Krankenversicherungskarte. ein Personalausweis oder eine Kontokarte, 
die Speichereinrichtungen des erfindungsgemdfien Personendaten-Archivierungssy- 
stems ganz oder teilweise aufhehmen. 

FOr eine weitere Erhtthung der Sicherheit der archivierten Daten ist es beyorzugt, daB 
mittels den BerechtigungsprQfeinrichtungen ein insbesondere turnusmd&iger Ken- 
nungswechsel einer Anwender- und/oder Geratekennung zur Berechtigungs- und/oder 
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Authentizitatserkennung berOcksichtigt werden kann. Dabei wird vorzugsweise mittels 
den Berechtigungspriifeinrichtungen sine Authentizitats- und/oder Berechtigungsprii- 
fung von Anwender. Zugriffsgeraten und/oder Speichereinrichtungen fiir einen beab- 
sichtigten Zugriff durcitgefOhrt 

Die Venwendungsmeglichkeit der Daten im Personendaten-Archivierungssystem nach 
der Erfindung wird weiter dadurch optimieit. daB die Speichereinrichtungen eine Mehr- 
zahl von Bereichen enthalten. denen unterschiedliche Zugriffssicheningen. wie Pass- 
wOrter, PINs o.a. zugeordnet werden kSnnen. 

Ein besonderer weiterer Schutz kann bei der Erfindung vorteilhaft fQr Schreibzugriffe 
vorgesehen sein. indem Speicherungen von neuen Oder geanderten Daten auf die 
Speichereinrichtungen dort nur nach Eingabe einer Signatur zusammen mit dieser ab- 
speicherbar sind, und daB letrtere vorzugsweise durch eine Anwender- und/oder Zu- 
, griffegeratekennung insbesondere automatisch erzeugt wird. 

Nachfolgend werden einige weitere bevorzugte AusfQhrungsfbrmen angegeben, die 
sich aus verschiedenen Merkmalskombinationen der UnteransprQche ergeben. 

„ Beispielsweise als Patientenkarte kann eine Prozessor-Chipkarte Venvendung finden. 
die sowohl zumindest einen Teil der BerechtigungsprOfeinrichtungen in Forni des Pro- 
zessors als auch einen ersten Teil der Speichereinrichtungen auf dem Chip enthait. urn 
ein Patientendaten-Archivierungssystem zu realisieren. Mit einer derartigen Prozessor- 
Chipkarte kann der Infomiationsaustausch im Medizinbereich verbessert werden. In 
« erster Linie dient die Prozessor-Chipkarte dabei als Kontroll- und Sicherheitselement. 
und die Speicherfunktion ist insbesondere auf Gmnd der Qblichenweise geringen Spei- 
cherkapazrtat solcher Karten zweitrangig. Das erfindungsgemftBe System enthait daher 
neben der Karte einen mobilen eigentlichen Datenspeicher. wofQr sich beispielsweise 
eine magneto-optische Platte in Fomi einer 2.5-Zoli-Diskette eignet Diese Datentrager 
30 sind so klein und handOch wie eine Chipkarte. verfugen aber uber eine Speicherkapazi- 
tat von beispielsweise 140 Megabyte und sind wiederbeschreibbar. 
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Die durch die Erfindung geschaffene Sicherheit wird technologisch durch die Kombina- 
tion der Prozessor-Chipkarte mit einem bezQglicii dieser extemen Massendatenspei- 
cher erreicht Der Zugriff zu dem Massendatenspeicher erfolgt aussclilieBlich Qber die 
Prozessor-Chipkarte mit ihren Sicherheitseinrichtungen zur BerechtigungsprOfung und 
Zugriffefreigabe. Damit sind die Daten z.B. auf der magneto-optischen Platte in gleicher 
Weise geschQtzt, als ob sie auf der Prozessor-Chipkarte selbst abgelegt wSren. 

Somit hat ein Patient in dieser Zeit der zunehmenden medizinischen Aufeplittung niehr 
als nur einen medizinischen Ausweis und wird in die Lage versetzt, seine relevanten 
Krankheitsdaten selbst komplett zu dokumentieren, urn sie dann beispielsweise dem 
jeweits behandelnden Arzt oder seiner Versicherung zur Verfugung stellen zu kbnnen. 
Die durch die Erfindung somit allgemein mfigliche umfassende persSnliche und insbe- 
sondere medizinische Datensammlung in der Hand des Patienten trSgtzu einer Ver- 
besserung des Informatlonsaustausches z.B. zwischen den Arzten bel. Gleichzeitig ist 
sie, urn beim Beispiel des Patientendaten-Archiviemngssystems zu bleiben. ein Instru- 
ment zur QualitStssicherung der arztlichen Leistung und dient einer ganzheitlichen Be- 
treuung des Patienten. Die Vermeidung von Datenverlusten z.B. bel eInem Arztwechsel 
fOhrt zu einer Reduziemng der erforderllchen Untersuchungen und damit zu einer Ent- 
lastung, gesundheitsmaBig beim Patienten und kostenmaBig bei den Krankenkassen. 

Eine Datensammlung Qber die Krankengeschichte darf sich aber nicht in einer Aufli- 
stung von anamnestischen Daten. Diagnosen oder durchgef Qhrten Untersuchungen 
erschSpfen. Jeder weiterbehandelnde Arzt mSchte. zumindest die kompletten Arzt- und 
Krankenhausberichte einsehen. und hSufig will er verstSndlichenweise auch nicht dar- 
auf verzichten. die Originalaufeeichnungen und -befunde betrachten zu kdnnen. Eine 
solche umfassende Datensammlung ware aber auf einer herkSmmlichen Prozessor- 
Chipkarte alleine nicht realisierbar, sondem nur in Kombination mit einem typischen 
Datenspeicher. fOr den es ohne die Erfindung keinen ausreichenden Datenschutz ga- 
be. 
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In Fortfuhrung des vorbeschriebenen Ausfuhrungsbeispiels kann die Prozessor-Chip- 
karte zundchst als NotfalUAusweis fungieren. Neben den typischen Notfalldaten kann 
der entsprechende Speicherteil bei Interesse auch als zum Speichern eines Organ- 
spendeausweises Oder Notblttestaments eingesetzt werden. Mdgliche Zugriffsregelun- - 
gen hierfQr wurden bereits welter oben beschrieben. Durch die Mitwirkung des Inhabers 
Qber einen ZugriffsschlQssel, wie ein Passwort Oder eine PIN wird daraus eine umfes- 
sende Auswetskarte mit den wesentlichen medizinischen (oder bei anderen Anwen- 
dungsfailen Finanz-, Versicherungs-. "Kleingeldguthaben-") Basisdaten. Zusammen mit 
dem z.B. elektronischen Massenspelchemnedium fQr die Komplettdaten erhait der Pati- 
ent eine vollstandige Sannnnlung von wichtigen Krankheitsdaten, wobei die Arztberichte, 
Bilder (beispielsweise Rdntgen- und Ultraschallbiider) und Biosignale (EKG u.a.) im 
Original voriiegen. Aus praktischen Oberlegungen kann die Mitwirkung des Patienten 
be? der ZugrifFsfreigabe f(lr einen Arzt, der sich z.B. neben seinem Kartenlesegerat und 
seinem Laufwerk fQr die BerechtigungsprQfeinrichtungen beispielsweise mit einer 
Arztkarte identifiziert hat. darauf beschrSnkt werden, da& auf der Prozessor-Chipkarte 
ein Foto des Patienten den Karteninhaber ausweist. 

Es kann femer eine automatisch arbeitende Einrichtung vorgesehen sein, die dafOr 
sorgt, daB der Speicher einer gefullten Prozessor-Chipkarte durch Auslagem von Daten 
auf z.B. eine zugehdrige MO-Platte wieder zum Aufnehmen weiterer neuer Daten bereit 
ist 

Weiterhin ist bei der AusfUhrung mit der Prozessor-Chipkarte als Kontroll- und Sicher- 
heitsinstrument eine Ausstattung mit einem Coprocessor mdglich, durch den fQr das 
Sicherheitskonzept eine Authentifikation von Temiinal, Karte und Benutzer sowie eine 
Dokumentation Qber jeden Zugriff auf die abgelegten Daten erfolgen kann. 

Als Berechtigungsprufeinrichtungen und deren PrOfmittel sind insbesondere Prozes- 
soreinrichtungen vorzugsweise auf einem Tell der oder allgemein den Speichereinrich- 
tungen und/oder aber in einem Steuen^echner oder Zugriffsgerat und geeignete Pro- 
gramme bzw. Zugriffegerate-, Speichereinrichtungs-. Inhaber- und Anwenderkennun- 
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gen zu nennen. Die Sicherung kann beispielsweise femer auch oder zusdtzlich dadurch 
erreicht warden, daQ die Kennungen getrennter Speichervonichtungen und insbeson- 
dere Datentrgger kombiniert werden mUssen, um auf geschutzte Daten zugreifen zu 
konnen. Femer kdnnen die Daten direkt In iauffahigen Programmdateien entiialten 
sein, deren Aufruf von bestimmten Kennungen abhdngt. Der erfindungsgemafie 
Grundschutz wird aber dadurch en^eicht, daQ ein Zugriff vom PrOfergebnis der Berech- 
tigungsprufeinrichtungen abhangt. 

Das erfindungsgemade System kann zwar z.B. eine Arztkartei schon wegen der beste- 
henden Dokumentationspflicht nicht ersetzen. Die Erfindung schafft aber eine wichtige 
ErgSnzungsmoglichkeit beispielsweise zur Arztkartei, da durch das Patientendaten- 
Archivierungssystem samtliche relevanten Daten vollstandig, unverfdlscht und unmrttel- 
bar zur VerfOgung stehen. FQr die digltale Archivierung spricht femer, da& zahlreiche 
Daten bereits jetzt, zumindest aber kOnftig, von vomheretn in digitaler Fomi vorliegen, 
wie ROntgenbilder, Uttraschaliaufnahmen, EKG, EEC, Arzberichte usw. 

Weitere vorteilhafte und bevorzugte AusgestaKungen der Erfindung ergeben sich durch 
die AnsprQche und deren Kombtnationen. 

Nachfolgend werden Einzelheiten der Erfindung unter Bezugnahme auf die Zeichnun- 
gen naher angegeben, in denen: 

Figur 1 eine schematische Darstellung von Systemkomponenten eines Personendaten- 
Archivierungssystems zeigt, 

Figuren 2a - 2c tabellarische Darstellungen mdglicher Aufteilungen der Speichereinrich- 
tungen sind, und 

Figur 3 ein Blockschaltbild des Aufbaus von Figur 1 ist. 
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In den Figureh 1 und 3 istein Personendaten-Archivierungssystem 1 gezeigt. Das Sy- 
stem 1 enthait transportable oder mobile. persSnliche Speichereinrichtungen 2 zum 
Speichem und Aufbewahren von Personendaten beim Inhaber. Die Speichereinrich- 
tungen enthalten erste und zweite getrennte DatentrSger 8 und 9, die einzelne Spei- 
chervorrlchtungen als ersten und zweiten Teil 6 bzw. 7 der Speichereinrichtungen 2 
bilden. 

Zum Zugreifen auf die einzelnen Datentrager 8, 9 ist ein Zugriffegerat 12 gezeigt. das 
ein kombiniertes LesegerSt und Laulwerk fOr die beiden Datentrager 8. 9 darsteUt Fer- 
ner ist das Zugriffsgerat 12 auch ausgelegt, eine Berechtigungskarte 13 zu tesen. 

Der erste Datentrager 6 ist eine Prozessor-Chipkarte und dient sowohl zur Speicherung 
klelnerer Datenmengen. beispielsweise eines Notfallausweises. von Obersichtsdaten 
und/oder Behandlungsdaten des Inhabers und von Nachweisdaten erfolgter Speicher- 
zugriffe. als auch als Bestandtell von Berechtigungsprafeinrlchtungen 3. wofur die Pro- 
zessoreinrichtungen 1 0 der Karte eingesetzt werden. WIe insbesondere der Figur 3 
deutlich zu entnehmen ist. sind im Zugriffsgerat 12 weitere Prozessoreinrichtungen 10 
vorgesehen, die ebenfalls Bestandtell der BerechtlgungsprUfelnrichtungen 3 zur Fest- 
stellung einer Zugriffeberechtigung sind. 

Der zweite Datentrager 7 ist eine magneto-optische Platte und ermoglicht so eine Spei- 
cherung groBer Datenmengen zur Speicherung von Detaildaten. AuBerdem ist durch 
die Prozessoreinrichtungen 10 eine Steuerung vorgesehen. um zu vermeiden. daS die 
Prozessor-Chipkarte speichermaBig voll ist und keine weiteren Daten mehr aufnehmen 
s kann. wofQr Daten von der Prozessor-Chipkarte immer wieder auf die magneto-opti- 
sche Platte ausgelagert werden. 

Die den Speichereinrichtungen 2 zugeordneten BerechtigungsprOfeinrichtungen 3 die- 
nen der Datensichertieit. da sie dafOr sorgen. daB nur in Abhangigkeit von einer positi-. 
„ ven Berechtigungs- und/oder Authentizitatserkennung ein Zugriff auf zumindest einige 
der auf den persSnlichen Speichereinrichtungen 2 gespeicherten Personendaten frei- 
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gegeben werden kann. Bei dem gezeigten AusfQhrungsbeispiel sind hierfQrdie einzel- 
nen Prozessoreinrichtungen 10 und spdter noch genauer angegebene Kennungen zu- 
stSndig. 

Die BerechtigungsprQfeinrichtungen 3 des gezeigten Ausfuhaingsbeispiels sind so 
ausgefQhrt, daH sie einen tumusmd&iger Kennungswechsel einer Anwender- und/oder 
Gerdtekennung zur Berechtigungs- und/oder Authentizitatserkennung berOcksichtigen 
und eine Authentizltats- und/oder BerechtigungsprQfung von Anwender, Zugriffsgerdten 
und Speichereinrichtungen 2 fur einen beabsichtigten Zugriff durchfOhren. Weiterhin 
kSnnen Schreibzugriffe auf die Speichereinrichtungen 2 dort nur nach Eingabe einer 
Signatur zusammen mit dieser abgespeichert werden, wobei diese Signatur durch eine 
Anwender- bzw. Zugriffsgeratekennung automatisch unter Nutzung des RSA-Verfah- 
rens erzeugt wird. 

Das gezeigte Archivierungssystem 1 ist so ausgelegt, da& nur in Verbindung mit dem 
ersten Teil 6 der Speichereinrichtungen 2 auf den zweiten Teil 7 der Speichereinrich- 
tungen 2 zugegriffen werden kann. Es sind auch mehrere verschiedene PrQf- bzw. Be- 
rechtigungsstufen vorgesehen, urn den Zugriff auf verschiedene Datenbereiche zu re- 
geln. 

in einer ersten PrOfstufe wird nur eine Lesegeratekennung uberprOft. urn einen Zugriff 
auf Notfalldaten zuzuiassen. In dieser oder einer hdheren Prufstufe kann eventuell eine 
Berechtigungskarte fur den Zugriff auf Oaten erforderlich sein, die eine Qbersicht uber 
weitere persdnliche Daten des Inhabers der Chipkarte geben. Eine weitere PrOfstufe 
kann dadurch realisiert werden, da& auf die auf dem zweiten Teil 7 der persSnlichen 
Speichereinrichtungen 2 gespeicherten Personendaten, wie Detaiidaten, nur in Abhdn- 
gigkeit von einer positiven Berechtigungs- und/oder Authentizitdtseri^ennung mittels der 
BerechtigungsprQfeinrichtungen 3 zugreifbar ist Eine solche Kennung kann z.B. fol- 
gende Informationen alleine oder kombiniert berucksichtigen: eine Lesegeratekennung. 
eine Laufwerkskennung, eine DatentrSgerkennung, eine Anwenderkennung, eine In- 
haberkennung. Insbesondere die beiden letzteren k5nnen auch durch PINs 
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(persenliche Idenfrfizierungsnummem) oder Geheimzahlen o.a. realislert werden, wobei 
verschiedene Eingaben zu unterschiedlichen Berechtigungsstufen fOhren kSnnen. Die 
einzelnen PrQfstufen der BerechtigungsprQfeinrichtungen 3 konnen beispielsweise auch 
dafOr genutzt werden. urn fiir Schreib- und Lesezugriffe jeweils unterschiedliche Be- 
rechtigungen zu vergeben. 

Im Zusammenhang mtt dem Kartenlesegerftt wird durch die BerechtigungsprQfeinrich- 
tungen 3 die Authentizitatder Prozessor-Chipkarte QberprQfL Dabel kbnnen z.B. ge- 
faischte Karten abgewiesen werden. Ebenso wird anhand der Prozessor-Chipkarte 
mittels der BerechtigungsprQfeinrichtungen 3 eine OberprOfung des KartenlesegerSts 
durchgeftihrt, so daB nicht autorisierte LesegerSte Qberhaupt keinen Zugriff auf die 
Daten der Prozessor-Chipkarte und auch des Massenspeichers ertialten. Eine ahnliche 
gegenseitige AutorisiemngsQberprufung kann auch fOr die magneto-optische Platte und 
das entsprechende Laufweric vorgesehen sein. 

Im einzelnen werden die Identrfikationsmerianale des Kartenlesegerats (z.B. Unikat-Nr.) 
und des Laufwerics fQr die magneto-optische Platte erfaBt (z.B. Laufweridtennung) er- 
faBf und die entsprechenden Daten auf oder in dem Speicher der Prozessor-Chipkarte 
gespeichert, sobald das Lesegerat oder das Laufwerit auf gespeicherte Daten zugreifl. 
20 Sollte die Kapazitat des entsprechenden Speichers auf der Prozessor-Chipkarte nicht 
ausrelchen. werden altera Daten auf die MO-Platte ausgelagert oder geloscht. Durch 
eine Erfassung der Benutzeridentifikation (Anwender- und Inhaberitennungen) wird ge- 
trennt fOr die Prozessor-Chipkarte und die MO-Platte jeglicher Zugriff auf die gespei- 
cherten Daten erfaBt. Alternativ oder auch ergSnzend zu anderen ldentifikationsmeri<- 
» malen. wie der Lesegerdtekennung oder einer Benutzeritennung . kann eine Berechti- 
gungskarte zur AutorisierungsprOfung benStigte Daten bereitstellen. die den Benutzer 
ausweisen und ebenfalls gespeichert werden kOnnen. urn dort. wo verschiedene Be- 
nutzer auf das gleiche Kartenlesegerat zugreifen, wie z.B. in einem Rettungswagen. 
eine einfache. schnelle und sichere Berechtigungsertcennung zu ennoglichen. 
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Die umfangreichen Daten auf dem zweiten Teil 7 der Speichereinrichtungen 2. also 
beispielsweise Bilddaten auf der MO-Platte, kfinnen nur dann gelesen werden. wenn 
ein Benutzer beispielsweise Qber entsprechende Programmteile verfQgt, was aber erst 
nach positlver AuthentlzltatsprUfung meglich ist. 

Als weiteren Sicherhertsaspekt enthait das ZugriffsgerSt 12 in dem gezelgten Beispiel 
Kryptoeinrichtungen 1 1 . die fQr eine EntschlOsselung und Verschlttsselung bel Lese- 
brw. Schreibzugriffen auf die Teile 6 und 7 der Speichereinrichtungen 2 sorgen und 
beispielsweise zur Bearbeitung von groBen Datenmengen zumlndest einen als Copro- 
, zessor ausgelegten Kryptoprozessor enthalten. Die Kryptoeinrichtungen 1 1 sind den 
Speichereinrichtungen 2 vorgeschaltet und werden betriebsmaHig mittels der Berechti- 
gungsprflfeinrichtungen 3 zur Bearbeitung von Zugriffen auf die Speichereinrichtungen 
2 freigegeben. Die rwischen einzelnen Speichen/orrichtungen bzw. deren Zugriffsein- 
richtungen 12 und den Rechnereinrichtungen 14 transferierten Daten werden durch die 
,5 Kryptoeinheft ent- bzw. verschlQsselt. wobei letrtere ebenfalls erst nach positlv ausge- 
fallener AuthentizitatsprOfung In FunkBon tritt. Beim Aufruf einer Datei auf der MO- 
Platte wird diese automatisch entschlOsselt. Umgekehrt erfblgt eine automatische Ver- 
schlDsselung einer Datei. wenn sie auf die MO-Platte geschrieben wird. Die entspre- 
chenden Dateinamen sind beim System 1 ohne die Freigabe durch die Berechtigungs- 
» profeinrichtungen 3 nicht lesbar und auf der Prozessor-Chipkarte hinterlegt. Die hohe 
Datentransferrate kann durch die eigenstandige Kryptoeinheit bewaitigt werden. 

Der erste Tell der Speichereinrichtungen 2 bzw. die erste Speichen/orrichtung 6 Ist 
nicht auf die vorijeschriebenen AusfOhrung beschr^nkt, sondem kann eine magneti- 

» sche. magneto-optische Oder optische Spelcherflache oder ein Speicherchip insbeson- 
dere auf oder in einer vorzugsweise etwa scheckkartengroBen Kunststoflkarte als Da- 
tentrager 8 seln. Ebenfalls ist die Ausgestaltung des zweiten Teils der Speichereinrich- 
tungen 2 bzw. der zweiten Speichervorrichtung 7 nicht auf eine magneto-optische Plat- 
te beschrankt, sondem kann ieglicher elektronische. magnetische, magneto-optische 

30 Oder optische Massenspeicher insbesondere in Form einer 2.5 oder 3.5 Zoll groBen 
Diskette oder einer PCMCIA-Einheit als Datentrager 9 sein. 
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Die Speichereinrichtungen 2 sind jeweils durch ein zum HinzufUgen und/oder Andem 
von Personendaten wiederbeschreibbares Speichermedium 4, 5 entsprechend den 
Datentrdgern 8. 9 gebildet. Fur bestimmte Anwendungszwecke sind wenigstens Teile ■ 
der beiden beschreibbaren Speichemnedien 4, 5 schreibgeschQtzt oder schreibschQtz- 
bar. Hierdurch kdnnen beispielsweise unverdnderliche Eintragungen vor versehentli- 
chen Oberschreibungen geschOtzt weiden. Auch Bereiche des Speichennediums 5 des 
zweiten Datentragers kdnnen aus dem gleichen Gmnd schreibgeschQtzt oder schreib- 
schQtzbar sein, urn z.B. nachtrdgliche Anderungen in der Zugrif^okumentation auszu- 
schlie&en. 

Die Prozessoreinrichtungen 10 erfOllen neben ihrer Au^abe zur Berechtigungsuberpru- 
fung noch die Steuerung von zumindest Teilen der Speichereinrichtungen 2 und/oder 
die wenigstens teilweise Steuerung von Zugriffen auf letztere. 

Nichtgesondertgezeigt sind Kopierschutzeinrichtungen, Druckausgabeschutzeinrich- 
tungen und Ausgabebeschrdnkungseinrichtungen, die ein unenivQnsclites Kopieren. 
Drucken oder andersartiges Ausgeben von den Speichereinrichtungen 2 entnommenen 
Daten verhindem. wenn diese entsprechenden Einrichtungen nicht durch einen geeig- 
nete Berechtigungsnachwels den BerechtigungsprOfeinrichtungen gegenOber neutrali- 
siert, d.h. abgeschattet sind. 

Statt des oder zusdtzlich zum gezeigten Zugrif^erat 12 kdnnen fUr die einzelnen Da- 
tentrager 8 und 9 sowie die Berechtigur^skarte 1.3 gesonderte Zugriffsgerate vorgese- 
hen sein, beispielsweise pers6nliche, mobile und/oder stationdre Zugriffsgerate. Das 
Zugriffsgerat 12 ist sowohl fQr die Prozessor-Chipkarte als auch die magneto-optische 
Platte in Minidisk-Form fQr einen Schreib- und/oder Lesezugriff ausgelegt. 

Jedes einsetzbare Zugriffegerat 12 enthalt zweckmaRigerweise entsprechend den 
Fonnaten von die Speichereinrichtungen 2 aufnehmenden Datentragem Kartenlesege- 
rate for z.B. Magnetstreifen- oder Chipkarten, Diskettenlaufwerice fur z.B. magnetische. 
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magneto-optlsche Oder optische Disketten, CD-ROM-Laufwerke und/oder Aufnahmen 
fiir PCMCIA-Einhelten. Auch bei getrennter AusfOhrung der ZugriffegerSite 12 fur die 
ersten und zweiten Telle 6, 7 der Speichereinrichtungen 2 kdnnen diese Gerdte 12 zu- 
sammengeschaltet urKt Qber diese 21usammenschaltung von den BerechtigungsprO- 
feinrichtungen 3 ein entsprechender Berechtigungsnachweis eriaQX warden. 

Zur Ersteliung von Sichenjngskopien. die bei Verlust der Speichereinrichtungen 2 einen 
vollstdndigen Datenverlust verhindem. lassen die Zugrif^erate 12 direkt oder die Be- 
rechtigungsprOfeinrichtungen 3 ohne Berechtigungsnachweis eine Ersteliung von Si- 
cherungskopien der transportablen, persSnlichen Speichereinrichtungen 2 zu. HierfOr 
kttnnen z.B. fluchtige Speichereinrichtungen in dem entsprechenden Zugrrf^erdt 12 
enthalten sein, um Daten zum Kopieren zwischenzuspeichem. 

Wie den Figuren 1 und 3 weiter zu entnehmen ist, ist zum Ansteuem des Zugriffsgerdts 
12 eine Rechnereinrichtung 14 In Fomi eines PCs vorgesehen. Diese Rechnereinrlch- 
tungen 14 dienen femer als Anzelge- und Eln-/Ausgabegerate von Daten sowoht fOr die 
BeiechtigungsprQfeinrichtungen 3 als auch die Speichereinrichtungen 2. um Daten zu 
suchen, auszugeben und einzugeben. 

Das in der FIgur 1 dargestellte Zugriffsgerat 12 ist Qber eine Leitung mit einer nicht nS- 
her bezeichneten eigenen Tastatur und Qber eine weitere Leitung an geeigneten Da- 
tenschnittstellen mit den Rechnereinrichtungen 14 verbunden. Die Rechnertastatur 
und/oder die Zugriffegeratetastatur kann zum Eingeben von PINs u.a. venwendet wer- 
den kOnnen. Femer ist das Zugriffegerat 12 m'rt nicht nSher bezeichneten Displayeln- 
richtungen versehen. 

Der erete DatentrSger 8 ist gleichzeitig eine Krankenversicherungskarte und das ge- 
samte System 1 dient zur Archivlerung von Patientendaten einschlie&lich schriftlicher 
und graphischer Unterlagen beim Inhaber. Jedoch konnen auch andere Daten mit die- 
sem Oder ahnlichen Systemen archiviert werden, wie beispielsweise Finanzdaten, Ver- 
sicherungsdaten. Reisedaten u.v.m. 
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Fur den Anwendungsfall des Patientendaten-Archivierungssystems ist in den Figuren 
2a - 2c tabellarisch eine Speicherorganisation dargestelH. Die Figur 2a zeigt die Orga- 
nisationsstruktur der beiden Datentrflger, die Figur 2b gibt AufschluB Qber den I nhalt 
der enthaltenen Notfallkarte und die Figur 2c erlSutert den Inhalt der patientenkarte, 
wobei die verschiedenen Speicherbereiche direlct bezeiclinet sind, so da& keine weite- 
ren Eriauterungen zu ihrem Verstandnis erforderlrch sind. In der Praxis kdnnen einzelne 
Fekler und Eintrdge Qber die Rechnereinrichtungen 14 mittels MenQ- oder Fenster- 
technik aufgerufen werden. 

Wenn vorstehend auf ein Patientendaten-Archivierungssystem. Patientendaten und 
allgemein den Medizinbereich Bezug genommen wurde, so ist dies nur exemplarisch zu 
verstehen. Die Erfindung betrifft ein Personendaten-Archivierungssystem. das durch 
die In den AnsprOchen angegebenen Merkmale und Merkmalskombinationen bestimmt 
und nicht auf einzelne AusfQhrungsbeispiele der Beschreibung beschrSnkt ist. So k6n- 
nen z.B. mehr als zwei (separate) Speichereinrichtungsteile vorgesehen sein. wobei 
beispielsweise eine einzlge Prozessorkarte mit mehreren MO-Platten fOr je ein eigenes 
Sachgebiet zusammenarbeiten kann. Insbesondere sind alle durch die Merkmalsformu- 
lierungen in den Anspruchen enthaltenen Ausfuhrungsmoglichkeiten der Erfindung oh- 
ne Einschrankungen und mit den dem Fac^mann gelaufigen Modifikationen und Substi- 
tutionen im Umfang der Erfindung abgedeckt. 
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Bezugszeichenliste 



1 Personendaten-Archivierungssystem 

2 Speichereinrichtungen 

3 Berechtigungspriifeinrichtungen 
4, 5 Speichermedium 

6 erster Teil der Speichereinrichtungen 

7 zweiter Teil der Speichereinrichtungen 
8, 9 erste und zweite Datentrager 

1 0 Prozessoreinrichtungen 

1 1 Kryptoeinrichtungen 

12 Zugriffsgerate 

1 3 Berechtigungskarte, Arzt- Oder Rettungsdienstkarte 

14 Rechnereinrichtungen 
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Anspruche 

Personendaten-Archivierungssystem mit transportablen, persdnlichen Spei- 
chereinrichtungen zum Speichem und Aufbewahren von Personendaten beim 
Inhaber, 

dadurch gekennzeichnet, 

da& den Speichereinrichtungen (2) BerechtigungsprUfeiniichtungen (3) zugeord- 
net sind, mittels denen nur in Abhdngigkeit von einer posttiven Berechtigungs- 
und/oder Authentizitdtserkennung ein Zugriff auf zumindest einige der auf den 
personlichen Speichereinrichtungen (2) gespeicherten Personendaten freigebbar 
ist. 

Personendaten-Archivierungssystem nach Anspruch 1. 

dadurch gekennzeichnet, 
da& mittels den BerechtigungsprOfeinrichtungen (3) eine Mehrzahl von PrUfstu- 
fen ausfQhrbar ist. 

Personendaten-Archivierungssystem nach Anspruch 1 Oder 2. 

dadurch gekennzeichnet, 
da& zumindest ein Teil der Speichereinrichtungen (2) durch ein zum Hinzufugen 
und/oder Andem von Personendaten beschreibbares und insbesondere wieder- 
beschreibbares Speichermedlum (4, 5) gebildet ist. 

Personendaten-Archivierungssystem nach Anspruch 3, 

dadurch gekennzeichnet, 

daH die Berechtigungsprufeinrichtungen (3) zum Freigeben eines Lese- und/oder 
Schreibzugriffs auf das beschreibbare Speichermedium (4. 5) in Abhangigkeit 
von einer insbesondere entsprechenden Berechtigungs- und/oder Authentizi- 
tatsericennung ggf. in einer zugehorigen Prufstufe ausgelegt sind. 

Personendaten-Archivierungssystem nach Anspruch 3 oder 4. 
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dadurch gekennzeichnet, 

da& zumindest ein Teil des beschrelbbaren Speichermediums (4, 5) schreibge- 
schQtzt Oder schreibschUtzbar ist. 

6. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspril- 
che, 

dadurch gekennzeichnet, 

da& die Speichereinrichtungen (2) elnen ersten TeB (6) und zumindest einen 
zweiten Teil (7) mit insbesondere unterschiedlichen Speicherlopaziiaten enthal- 
ten. 

7. Personendaten-Archivierungssystem nacli Ansprucli 6. 

dadurch gekennzeichnet, 
da& der erste. Insbesondere kapazitatsma&ig kleinste Teil (6) der Speicherein- 
richtungen (2) ein Ausweis-, Identifikations- oder Stammdatenspeicherteil ist 

8. Personendaten-Archivierungssystefn nach Anspruch 6 oder 7, 

dadurch gekennzeichnet, 

da& auf die auf dem ersten Teil (6) der pers5nlichen Speichereinrichtungen (2) 
gespeicherten Personendaten. wie Ausweis-. Identifikations- oder Stammdaten, 
unabhSngig von den BerechtigungsprOfeinrichtungen (3) oder mit einer positiven 
Berechtigungs- und/oder Authentizitatserkennung in einer ersten PrQfstufe der 
BerechtigungsprOfeinrichtungen (3) zugreifbar ist. 

9. Personendaten-Archivierungssystem nach einem der AnsprOche 6 bis 8, 

dadurch gekennzeichnet, 

da& nur in Verbindung mit wenigstens dem ersten Teil (6) der Speichereinrich- 
tungen (2) auf den zumindest einen zweiten Teil (7) der Speichereinrichtungen 
(2) zugreifbar ist. 
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Personendaten-Archivierungssystem nach einem der AnsprOche 6 bis 9. 
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dadurch gekennzeichnet, 

da& der zweite, relativ zum ersten Teil (6) kapazitatsmSBig grCBere Teil (7) der 
Speichereiniichtungen (2) ein Detaildatenspeicherteil ist. 

s 11. Personendaten-Archivierungssysteni nach einem der AnsprQche 6 bis 1 0. 

dadurch gekennzeichnet, 
da& auf die auf dem zweiten Tail (7) der persdnlichen Spetehereinrichtungen (2) 
gespeicherten Personendaten, wie Detaildaten, nur in AbhSngigkeit von einer 
positiven Berechtigungs- und/oder Authentizitatserkennung ggf. in einer zweiten 

10 PrOfetufe mittels der Berechtigungsprufeinrichtungen (3) zugreifbar ist. 

1 2. Personendaten-Archivierungssystem nach einem der AnsprQche 6 bis 1 1 , 

dadurch gekennzeichnet, 
daft die wenigstens ersten und zweiten Teile der Speichereinrichtungen (2) 
IS durch separate erste bzw. zweite Speichervonichtungen (6, 7) insbesondere auf 

verschiedenen ersten bzw^ zweiten Datentrdgem (8. 9) gebildet sind. 



Personendaten-Archivierungssystem nach einem der AnsprQche 6 bis 12, 

dadurch gekennzeichnet 
daa der erste Teil der Speichereinrichtungen (2) bzw. die erste Speichervorrich- 
tung (6) eine magnetische, magneto-optische Oder optische Speicherflache oder 
ein Speicherchip insbesondere auf oder in einer vorzugsweise etwa scheckkar- 
tengroQen Kunststoffkarte als Datentrdger (8) ist 

14. Pereonendaten-Archivierungssystem nach einem der AnsprQche 6 bis 1 3. 

dadurch gekennzeichnet, 

dafi der zweite Teil der Speichereinrichtungen (2) bzw. die zweite Speichervor- 
richtung (7) ein elektronischer. magnetischer. magneto-optischer oder optischer 
Massenspeicher insbesondere in Fomi einer 2.5 oder 3,5 Zoll groBen Diskette 
Oder einer PCI\4CIA-Einheit als Datentrager (9) ist. 
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1 5. Persohendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gakennzeichnet, 

da& zumindest eInem Teil der Speichereinrichtungen (2) zugeordnete und/oder • 
vorzugsweise wenigstens einen Teil der BerechtigungsprQfeinrichtungen (3) bll- 
dende Prozessoreinrichtungen (10) vorgesehen sind. die vorzugsweise auf dem 
DatentrSger (8). wie z.B. einer Kunststoffltarte. angeordnet sind urtd insbesortde- 
re einen Prozessor entlialten. 

16. Personendaten-Arcliivierungssystem nach den AnsprQchen 13 und 15, 

dadurch gekennzeichnet, 
da& die Prozessoreinrichtungen (10) zur Steuerung von zumindest Teilen der 
Speichereinrichtungen (2) und/oder zur wenigstens teilweisen Steuerung von 
Zugriffen auf letztere und/oder zumindest als Teil der BerechtigungsprQfeinrich- 
tungen (3) ausg^gt sind. 

17. Peisonendaten-Archivierungssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

daB den Speichereinrichtungen (2) Kryptoeinrichtungen (11) vorgeschaltet sind. 
deren Betrieb insbesondere mittels der Berechtigungspriifeinrichtungen (3) zur 
Bearbeitung von Zugriffen auf die Speichereinrichtungen (2) freigebbar ist. 

1 8. Personendaten-Archivierungssystem nach Anspruch 1 5 Oder 1 6 und Anspruch 
17. 

dadurch gekennzeichnet, 

da& die Kryptoeinrichtungen (11) in den Prozessoreinrichtungen (10) enthalten 
sind und vorzugsweise einen Kryptoprozessor aufweisen. 

1 9. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspru- 
Che, 
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dadurch gekennzeichnet 

dad Kopierschutzeinrichtungen vorgesehen sind, mittels denen ein Speichern 
von zumindest einigen Daten, die auf den persdnlichen Speichereinrichtungen 
(2), insbesondere ggf. deren zweiten Tail (7), gespeichert sind, auf bezuglich 
letzteren externen Speichern unterbindbar ist und/oder ein Speichern von zu- 
mindest einigen Oaten, die auf dem ersten Tell (6) der Speichereinrichtungen (2) 
gespeichert sind, auf bezQglich letzteren externen Speichern zulaHbar sind. 

20. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

dad Druckausgabeschutzeinrichtungen vorgesehen sind, mittels denen eine 
Druckausgabe von zumindest einigen Daten unterbindbar ist, die auf den per- 
sdnlichen Speichereinrichtungen (2), insbesondere ggf. deren zweiten Teil (7), 
gespeichert sind und/oder ein Drucken von zumindest einigen Daten zula&bar 
1st die auf dem ersten Teil (6) der Speichereinrichtungen (2) gespeichert sind. 

21 . ' Personendaten-Archivierungssystem nach einem der vortiergehenden AnsprO- 

che, 

dadurch gekennzeichnet, 

dad Ausgabebeschrdnkungseinrichtungen vorgesehen sind, mittels denen eine 
Ausgabe von zumindest einigen Daten, die auf den personlichen Speicherein- 
richtungen (2). insbesondere ggf. deren zweiten Teil (7), gespeichert sind. auf 
mehr als ein Ausgabemedium z.B. eines R^chners, wie zusStzliche Bildschirme 
des Rechners Oder eine Netzwerickarte des Rechners zur Vert)indung mit weite- 
ren extem angeordneten Rechnem, untert)indbar ist. 

22. Personendaten-Archiviemngssystem nach einem der Anspriiche 1 9 bis 21 . 

dadurch gekennzeichnet, 
da& die Kopierschutzeinrichtungen, Druckausgabeschutzeinrichtungen und/oder 
Ausgabebeschrankungseinrichtungen mittels der Berechtigungsprufeinrichtun- 
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gen (3) durch eine entsprechende positive Berechtigungs- und/oder Authentizi- 
tatserkennung ggf. in einer zugehdrigen Priifstufe neutralisierbar sInd. 

23. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gekennzeichnet, 

dafi die BerechtigungspriJfeinrichtungen (3) ausgelegt sind. Geratekennungen 
von Zugriffsgeraten (12) fQr die Handhabung der Speichereinrichtungen (2) in ei- 
ne Prilfung zur Berechtigungs- und/oder Authentizitatserkennung ggf. zur Erful- 
iung einer insbesondere ersten PrQfstufe einzubeziehen. 

24. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspi-U- 
che, 

dadurch gekennzeichnet, 

da& die persbniichen Speichereinrichtungen (2) Kennungen aufweisen. die von 
den BerechtigungsprOfeinrichtungen (3) in eine Prilfung zur Berechtigungs- 
und/oder Authentizitatserkennung ggf. zur ErfOHung einer insbesondere ersten 
PrQfstufe einbeziehbar sind. 

25. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

dal^ die Berechtigungspriifeinrfchtungen (3) ausgelegt sind. Benutzer- und/oder 
Inhaberidentifikationen von zumindest einem Anwender bzw. dem Inhaber, des- 
sen Daten in den Speichereinrichtungen (2) archiviert sind. in eine Priifung zur 
Berechtigungs- und/oder Authentizitatserkennung ggf. zur ErfQIIung einer insbe- 
sondere zweiten PrQfstufe und ggf. weiteier Prilfstufen zur Freigabe eines Zu- 
griffs auf zumindest eirtige der auf den persenlichen Speichereinrichtungen (2) 
gespeicherten Personendaten einzubeziehen. 
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26. Personendaten-Archivlerungssystem nach Anspruch 25. 
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dadurch gekennzeichnet, 

daB die BerechtigungsprQfeinrichtungen (3) ausgelegt sind. eine Anwenderken- 
nung. wie eine Benutzer- bzw. Inhaberidentlfikation uber manuelle und/oder 
elektronische Eingaben, wie beispielsweise von einer Berechtigungskarte (1 3), 
durchzufQhren. 

27. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspru- 
Che, 

dadurch gekennzeichnet, 

daB durch die BerechtigungsprOfeinrichtungen (3) zugelassene Zugriffe auf den 
Speichereinrichtungen (2) mit den dafur relevanten Daten, wie Geratekennungen 
von Zugriffsgeraten (12) und/oder Benutzer- und/oder Inhaberidentifikatlonen. 
insbesondere auf den Speichereinrichtungen (2) seibst dokumentierbar sind! 

28. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprO- 
che, 

dadurch gekennzeichnet, 

da& persSnliche Zugriffegerate (12) vorgesehen sind, mittels denen vom Inhaber, 
dessen Daten in den Speichereinrichtungen (2) archiviert sind, und/oder von 
Anwendern der Speichereinrichtungen (2) in Abhangigkeit von einer insbesonde- 
re entsprechenden Berechtigungs- und/oder Authentizitatserkennung ggf. in ei- 
ner zugehorigen Prufetufe auf zumindest einige der archivierten Daten zum 
Zweck der Information, DatendnderungZ-ergdnzung und/oder Weitergabe auch 
Qber DatenfemQbertragung zugreifbar ist. 

29. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspru- 
che, 

dadurch gekennzeichnet, 

daft mobile und/oder stationflre Zugriffegerate (12) vorgesehen sind, mittels de- 
nen von Anwendem in /Abhangigkeit von einer insbesondere entsprechenden 
Berechtigungs- und/oder Authentizitatserkennung ggf. in einer zugehdrigen 
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Priifetufe auf zumindest einige der archivierten Daten zum Zweck der Information 
und/oder Daten^nderungZ-ergdnzung zugreifbar ist. 

30. Personendaten-Archivlerungssystem nach Anspruch 28 oder 29, 

dadurch gekannzeichnet, 
da& die Zugrifbgerflte (12) fOr einen Schrelb- und/oder Lesezugriff zumindest 
auf einige der auf den pers6nlichen Speidiereinrichtungen (2) gespeiclierten 
Personendaten in AbhSngigke'it von einer insbesondeie entsprechenden Be- 
reclitigungs- und/oder Authentizitatserkennung ggf. in einer zugehSrigen PrOfstu- 
fe dusgelegt sind. 

31 . Personendaten-Archivierungssyslem mdn einem der AnsprOche 28 bis 30. 

dadurch gekennzeichnet, 
da& die Zugriffegerate (12) Geratekennungen aufweisen. die von den Berechti- 
gungsprOfeinrichtungen (3) zur PrOfung einer Berechtigungs- und/oder Authen- 
tizitatserkennung ggf. zur ErfQIIung einer Insbesondere ersten PrOfstufe erfaBbar 
sind, und daB die GerStekennung vorzugsweise durch eine in zumindest ein Zu- 
griffegerdt (12) eingebbare Anwenderkennung aktlvierbar ist. 

32. Personendaten-Archivierungssystem nach einem der AnsprOche 28 bis 31 . 

dadurch gekennzeichnet, 

da& zum Ansteuem der ZugriffsgerSte (12) herk6mm!iche Rechnereinrichtungen 
(14) vorgesehen sind. 

33. Personendaten-Archivierungssystem nach einem der AnsprOche 28 bis 32. 

dadurch gekennzeichnet, 

daB die Zugriffsgerate (12) entsprechend den Fomnaten von die Speichereinrich 
tungen (2) aufnehmenden Datentragem Kartenlesegerate fOr z.B. Magnetstrei- 
fen-oderChipkarten. Diskettenlaufwerke fOr z.B. magnetische. magneto- 
optische Oder optische Disketten. CD-ROM-Laufwerke und/oder Aufnahmen fur 
PCI\/ICIA-Einheiten enthatten. 
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34. Personendaten-Archivierungssystem nach einem der Anspruche 28 bis 33, 

dadurch gekennzeichnet, 
da& zumindest zwei Zugrif^erdte (12) zur Zusammenschaltung von entspre- 
5 chenden Datentragem (8, 9) der Speichereinrichtungen (2) kombiniert sind und 

diese Zusammenschaltung von den BerechtigungsprQfeinrichtungen (3) zum Be- 
rechtigungsnachweis oder ggf. als eine erste PrQfetufe erfa&bar ist. 

35. Personendaten-Archivteoingssystem nach einem der AnsprUche 28 bis 34, 
10 dadurch gekennzeichnet, 

dal^ die Zugriffsgerdte (12) ausgelegt sind, ohne Berechtigungsnachweis oder 
ggf. in einer ersten PrOfetufe Sicherungskopien dertransportablen, pers6nlichen 
Speichereinrichtungen (2) zu erstellen. 

15 36. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gekennzeichnet. 

da& herkdmmliche Rechnereinrichtungen (14) als Anzeige- und Ein-/Ausgabege- 
rate von Daten vorgesehen sind. 

20 

37. Personendaten-Archivierungssystem nach einem der vortiergehenden AnsprQ- 
che, 

dadurch gekennzeichnet, 

daH es zum Speichem und Aufbewahren vqn Patientendaten, einschlie&lich 
2s schriftlicher und graphischer Unteriagen, beim Inhaber ausgelegt ist. 

38. Personendaten-Archiviemngssystem nach den Anspriichen 6 und 37, 

dadurch gekennzeichnet 
dad der erste Teil (6) der Speichereinrichtungen (2) einen Notfalldatenspeicher- 
30 bereich enthgit, in dem Venvaltungsdaten und die Daten eines Notfallausweises, 

eines Organspendeausweises, Notfalltestaments u.a. des Inhabers speicherbar 
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sind und auf den ein Zugriif zumindest soweit durch die Berechtigungspriifein- 
richtungen (3) frei oder mit nur einer Arzt- oder Rettungsdienstkennung, die vor- 
zugsweise iiber eine spezlelle Arzt- oder Rettungsdienstkarte (1 3) oder eine 
Ar4-yRettungsdienst-Zugriffsgeratekennung in die BerechtigungsprQfeinrichtun- 
gen (3) eingebbar ist, oder mit nur einer Inhaberfcennung freigebbar ist 

39. Personendaten-Archivierungssystem nach den AnsprQchen 6 und 37 oder An- 
spruch 38, 

dadureh gekennzeichnet, 

da& der erste Teil (6) der Speichereinrichtungen (2) einen Obersichtsdatenspei- 
cherbereicli enthalt, in dem eine Auflistung wichtiger anamnestischer Daten, ein- 
schlieBlich einer ggf. erfolgten Verabreichung von Blut oder Blutprodukten und 
eine Dokumentation wrchtiger Gesundheits-ZKrankheitsdaten, einschlieBlich All- 
ergie-, Impf-, ROntgen-, Schrittmacher-, Diabetiker-, Medikamentendaten u.a., 
analog einer drztlichen Patlentenkarte speicherbar sind und auf den ein Zugriff 
zumindest soweit durch die Berecht^ungsprOfeinrichtungen (3) frei oder einzeln 
Oder in Kombination mit einer Arzt- oder Rettungsdienstkennung, die vorzugs- 
weise ilber eine spezielle Arzt- oder Rettungsdienstkarte (13) oder eine Arzt- 
/Rettungsdienst-Zugriffegeratekennung in die Bereclitigungsprilfeinriclitungen (3) 
eingebbar ist, mit einer Inhaberkennung und/oder einer Krankenkassenkennung 
freigebt>ar ist. 

40. Perspnendaten-Archivierungssystem nach den AnsprQchen 6 und 37 oder An- 
spruch 38 oder 39, 

dadureh gekennzeichnet, 

da& der erste Teil (6) der Speichereinrichtungen (2) einen Behandlungsdaten- 
speicherbereich enthalt, in dem ein vorgegebener zeitllcher Rahmen und eine 
vorgegebene inhaltliche Struktur von Vorsorgeuntersuchungen spwie Untersu- 
chungen im Rahmen der Nachsorge chronischer und/oder bdsartiger Erkrankun- 
gen speicherbar sind und auf den ein Zugriff zumindest soweit durch die Berech- 
tigungsprOfeinrichtungen (3) einzeln oder in Kombination mit einer Arztkennung. 
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die vorzugsweise Qber eine spezielle Arztkarte (13) Oder eine Arzt- 
Zugriffsgeratekennung in die BerechtigungsprOfeinrichtungen (3) eingebbar ist. 
mit einer Inhaberkennung und/oder einer Krankenkassenkennung freigebbar ist. 

41. Personendaten-Archivierungssystem nach den AnsprQchen 6 und 37 Oder einem 
der Anspruche 38 bis 40, 

dadurch gekennzeichnet, 
da& der erste Tell (6) der Speichereinrichtungen (2) einen Nachweisdatenspei- 
cherbereich enthait, in dem zumindest eine vorgebbare Anzahl und/oder Art von 
Zugriffen auf die Speichereinrichtungen (2) insbesondere einschlieRlich der je- 
weils erfolgten vorzugsweise individuellen Berechtigungs- und/oder Authentizi- 
tatserkennung und vorgenommenen Zugriffeart im einzelnen speicherbar ist und 
auf den ein Zugriff zumindest soweit durch die BerechtigungsprOfeinrichtungen 
(3) einzein oder In Kombination mit einer Arztkennung. die vorzugsweise Qber 
eine spezielle Arztkarte (13) oder eine Arzt-Zugriffsgeratekennung in die Berech- 
tigungsprafeinrichtungen (3) eingebbar Ist. mit einer Inhaberkennung und/oder 
einer Krankenkassenkennung freigebbar ist. 

42. Personendaten-Archivierungssystem nach den AnsprQchen 6 und 37 oder einem 
der AnsprQche 38 bis 41 . 

dadurch gekennzelchnet, 
daft der zweite Tell (7) der Speichereinrichtungen (2) einen Dokumentationsbe- 
relch enthait, in dem alle Originalunteriagen von Arztberichten, Zeugnissen, 
Rontgen-, Ultraschall-, Computertomographjeabbildungen usw., Biosignale, wie 
EKG- und EEG-Daten etc., direkt oder als Graphiken u.a. speicherbar sind und 
auf den ein Zugriff zumindest soweit durch die Berechtigungsprufeinrichtungen 
(3) einzein oder in Kombination mit einer Arztkennung, die vorzugsweise Qber 
eine spezielle Arztkarte (13) oder eine Arzt-Zugriffsgeratekennung in die Berech- 
tigungsprufeinrichtungen (3) eingebbar ist. mit einer Inhabericennung und/oder 
einer Krankenkassenkennung freigebbar ist. 
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43. Personendaten-Archivierungssystem nach den AnsprQchen 6 und 37 oder einem 

der AnsprQche 38 bis 42, 

dadurch gekennzeichnet, 
da& der rweite Teil (7) der Speiciiereinrichtungen (2) einen Nachweisdatenspei- 
cherbereich enthalt. in dem zumindest eine vorgebbare Anzahl und/oder Art von 
Zugriffen oder alle Zugriffe auf die Speichereinrichtungen (2) insbesondere ein- 
schlieBlich der jeweils erfolgten vorzugsweise individuellen Berechtigurigs- 
und/oder Authentizitatserkennung und vorgenommenen Zugriffeart im einzelnen 
speicherbar ist und auf den ein Zugriff zumindest soweit durch die Berechti- 
gungsprilfeinrichtungen (3) einzein oder in Kombination mit einer Arztkennung. 
die vorzugsweise Qber eine spezielle Arztkarte (1 3) oder eine Arzt- 
Zugriffsgeratelcennung in die BerechtigungsprOfeinrichtungen (3) eingebbar ist. 
mit einer Inhaberkennung und/oder einer Krankenkassenkennung freigebbar ist. 

44. Personendaten-Archivierungssystem nach den AnsprQchen 41 und 43. 

dadurch gekennzeichnet, 

daa der Nachweisdatenspelcherbeieich im ersten Teil (6) der Speichereinrich- 
tungen (2) schieberegisterartig aufgebaut ist. sodaB sein aitester Inhalt zur Ins- 
besondere endgQItigen Abspeicherung in den Nachweisdatenspeicherbereich 
des z«/eiten Toils (7) der Speichereinrichtungen (2) zur Platzschaffung fQr einen 
Neueintrag im Nachvifeisdatenspeicherbereich im ersten Teil (6) der Spei- 
chereinrichtungen (2) Platz verschiebbar Ist. 

45. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprO- 
a Che, 

dadurch gekennzeichnet, 

daB die Speichereinrichtungen (2) ganz oder teitweise Bestandteil einer Kran- 
kenversicherungskarte. eines Personalausweises oder einer Kontokarte sind. 
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46. 



Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 
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dadurch gekennzeichnet, 

da& mitteis den Berechtigungsprufeinrichtungen (3) ein insbesondere tumus- 
ma&iger Kennungswechsel einer Anwender- und/oder Ger^ekennung zur Be- 
rechtigungs- und/oder Authentizitatserkennung berucksichtigbar ist. 

47. Personendaten-Archivierungssystem nach einem der vorhergehenden AnsprQ- 
che, 

dadurch gekennzeichnet, 

dad mitteis den BerechtigungsprOfeinrichtungen (3) eine Authentizitats- und/oder 
BerechtigungsprOfung von Anwender, Zugriffsgeraten (12) und/oder Spei- 
chereinrichtungen (2) fOr einen beabsichtigten Zugriff durchfuhrbar ist. 

48. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspru- 
che, 

dadurch gekennzeichnet, 

dall die Speichereinrichtungen (2) eine Mehrzahl von Bereichen enthalten, de- 
nen unterschiedliche Zugriffesicherungen, wie Passworter, PINs, Berechtigungs- 
karten (13) o.a. zuordenbar sind. 

49. Personendaten-Archivierungssystem nach einem der vorhergehenden Anspru- 
che, 

dadurch gekennzeichnet 

daft Schreibzugriffe auf die Speichereinrichtungen (2) dort nur nach Eingabe ei- 
ner Signatur zusammen mit dieser abspeicherbar sind, und da& letztere vor- 
zugsweise durch eine Anwender- und/oder Zugriffegeratekennung insbesondere 
automatisch erzeugbar ist. 
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o Prozessor-Chipkarte 



o Datenspeicher 



o Notfalikarte: 



o Texte 



o Personliche Angaben 
O im Notfall zu verstandigen 
O Behandeinde Arzte 
o Unbedingt beachten 
O Blutgruppe 
O Organspendeausweis 
O Patiententestament 

o Patientenkarte: 

o Anamnese-Datensatz 
O Diagnostik-Datensatz 
O Labor-Datensatz 
o Ausweise 
O Dauerdiagnosen 
O Dauermedikation 
O Vorsorge-Datensatz 
O Nachsorgedatensatz 
O Datensatz fur 
Gesundheitsprogramme 



O Bilder 

o Biosignale 

o Labordaten 

O Dokumentation und 
Planung von 

Vorsorgeuntersuchungen, 
Nachsorge von 
chronlschen Krankheiten 
Oder Tumorieiden 

o Gesundheitsprogramme 



osoftware 



Figur 2a 
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Prozessor-Chipkarte 



Notfallkarte 



Btutgruppe, Rhesusfaktor: 

Blutgruppe (A. B, 0). Rhesusfaktor 
Rh-pos (D+VRh-neg (D-)). AnBk6r- 
per 
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Angaben zur Person: 

Name. Vomame, Geburtsdatum, 
PostleitzaW, Wohnort, StraBe, Te- 
lefon (Keine Angaben zur Kranken- 
versicherung, KV-Nr. o.ft.) 



Im Notfall verstandigen: 

Name, Vorname, Postleitzahl, 
Wohnort, StraBe, Tele1on(Hinweis 
auf ggf . zusStzliche und attemative 
Personen) 



Behandelnde Arzte: 

Name, Vomame, Praxisadresse: 
Postleitzahl, Wohnort, StraBe, 
Teleforx Fachrichtung (Hinweis auf 
ggf. zusatziiche Arzte) 



Unbedlngtbeachten: 

Fur die Notfallversorgung wichti- 
ge Erkrankungen oder Anomali- 
en, Z.B. Unvertraglichkeit bzw. 
Allergie auf Medikamente (Medi- 
kamentenname, Internationale 
Kurzbezelchnung der Wirksub- 
stanz. ArtderReaktlon), er- 
schwerte Intubation. Narkose- 
zwischentaile, Cerebrales 
Krampflelden, Diabetes mellitus. 
Marcumartherapie, Nierenlnsuf- 
fizienz, Dialysebehandlung, 
Glaukom. Kontaktlinsen. kOnstli- 
ches Auge, Herzschrittmacher. 
Situs inversus, Cholinesterase- 
mangel, Porphyrie. Haemophh 
lie, Sonstiges 



Organspendeausweis: 

Ich bin Organspender fur Trans- 
plantationen: ja/nein 
Im Falle meines Todes bitte Nach- 
richt geben an: Adresse, Telefon 



Patiententestament: 

Ich bestimme fOr den Falle einer 
schweren Erkrankung Oder ei- 
nes schweren Unf alls als Aus- 
druck meines Willens fur meine 
Familie und meine Arzte folgen- 
des* 

Ich verfQge hiermit. daB mein 
Leben ... 

Ort, Datum, Signatur 
BfitrfltJunQsuftffQquna: 
Folgende Personen sind be- 
rechtigt, von den behandelnden 
Arzten detaillierte Auskunfte 
Qber meinen Gesundheitszu- 
stand sowie uber diagnostische 
und therapeutische MaBnamen 
einzuholen. FOr diesen Perso- 
nenkreis entbinde ich die t>e- 
handelnden Arzte ausdrucklich 
von ihrer Schweigepfiicht: 
Name, Adresse. Telefon 
Ich enmSchtige fOr den Fall, daB 
ich nicht ansprechbar oder nicht 
zurechnungsfahig bin, folgende 
Personen fur mich im Sinne des 
Betieuungsgesetzes und Im 
Einklang mit meinem Patienten- 
testament zu handeln und die 
Einwilligung zu medizinisch not- 
wendigen MaBnamen und Ein- 
griffen zu geben oder zu venwei- 
gem: Name, Adresse, Telefon 

Ort, Datum, Unterschrift 
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Prozessor-Chipkarte 



Patientenkarte 



r 



Anamnese: 



Jahr/Krankheft bzw. Operation 
ggf. ICD-SchlQsset 
Ablage auf digitalen Speicher 
(Z.B. auf MD-Data) 



Diagnostik: 

Laboruntersuchungen (Datum, unter- 
suchte Substanz mit MeBeinheit, Er- 
gebnis), Sonographie, R6ntgen, Com- 
puter-Tomographie, Magnet-Resonan- 
z-Tomographie, Fundus-Photographie, 
EKG» EEG, Spirometrie. Bodypie- 
thysmographie, Sonstiges, Angaben 
der Untersuchung, untersuchte K5rper- 
region, Abiage auf digitalen Speicher 
(z.B.aufMD-Data) 



Ausweise: 

Impfausweis. Allergieausweis (Allergle 
auf Inhalationsstoffe. Nahrungsmittel, 
Kontaktstoffe und Arzneimittel). Diabeti- 
kerausweis, Biutdruckausweis, Ausweis 
uber eine Antikoagulantienbehandlung 
(Marcumar), Schrittmacher-Ausweis, 
Ausweis Qber die Verabreichung von 
Blut und Biutprodukten 



Dauerdiagnose: 

Nur DIagnosen von Krankheiten mit ei- 
nem chronischen oder langwierigen Ver- 
lauf: Diagnosen, ICD-Schlussel (aus Da- 
tenbank der Software) 




Dauermedikation: 

Nur Medikamente, die uber einen lange- 
ren Zeitraum einzunehmen sind: Har^ 
delsname, intemationale Kurzbezeich- 
nung fur den Wirkstoff, verordnete Dosis 
(aus Datenbank des Programms) 



Vorsorgeuntersuchungen: 

Dokumentation uber Vorsorgeuntersu- 
chungen bei Kindem. Schwangeren, 
Krebs-Fruherkennungsuntersuchungen, 
Gesundheitsuntersuchungen (Check-Up) 



Nachsorge Tumorleiden 

Dokumentation entspre&hender §rztri- 
Cher Nachsorgeprogramme bei malignen 
Geschwulsterkrankungen, Nachsorge- 
programme (aus Datenbank der Soft- 
ware) 



Nachsorge chronische 

Krankheiten: 

Dokumentation entsprechender arztli- 
cher Nachsorgeprogramme bei chroni- 
schen Krankheiten wie Hypertonie oder 
Diabetes mellitus, Nachsorgeprogram- 
me (aus Datenbank der Software) 



Allgemeine 

Gesundheitsprogramme: 

Eine Reihe von Programmen (aus Da- 
tenbank der Software), die insgesamt 
geetgnet sind, die Gesundheit zu erhal- 
ten: Z.B. Diatprogramme fur Adip6se, 
Nichtraucherprogramme, spezielle 
Gymnastikprogramme oder Lempro- 
gramme fur Diabetiker usw. 



Figur 2c 
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